Landfræðileg blokkun CloudFront bak við VPN: greina útgönguna

Landfræðileg takmörkun er ákvörðun um IP-vistfang, og VPN breytir því hvaða vistfang þjónustan sér. Þessi eina setning útskýrir flest ruglingslegu tilkynningarnar sem berast í stuðningsröð: „síðan virkar heima og mistekst í göngunni“ og „síðan virkar í göngunni en enginn annar á skrifstofunni getur hlaðið henni“ eru sama kerfið með andstæðar niðurstöður. Þessi handbók fer í gegnum greininguna í þeirri röð sem útilokar orsakir, byrjandi á því sem edge sagði þér í raun. Sama útgangsvistfang getur staðist eina stjórn og mistekist í þeirri næstu, því hver stjórn metur annan eiginleika þess vistfangs.

Lestu 403 áður en þú breytir nokkru

Landfræðileg blokkun og WAF-blokkun koma báðar sem 403, og þær eru lagfærðar á mismunandi stöðum. Skráðu svarhausana og fyrstu línu líkamans, því CloudFront bætir við skyndiminnishaus og ástæðustreng sem segja þér hvaða lag svaraði:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Þegar dreifingin sjálf lokaði beiðninni vegna landfræði ber líkaminn skilaboð sem nefna landtakmörkunina. Þegar WAF-regla lokaði henni er líkaminn venjulega almenn bönnuð síða og beiðnikenni dreifingarinnar í hausunum er það sem þú tekur með þér í WAF-skrána. Mistök hér senda þig á lista yfir leyfð lönd fyrir vandamál með reglu sem byggir á hraða, sem er vinnudagur sem getur ekki gengið.

Skref 1: staðfestið hvaða vistfang dreifingin sér

Spyrjið netið hvað umheimurinn sér, frá sömu vél og sömu leið og vafrinn sem mistekst notar. curl -s https://checkip.amazonaws.com skilar opinberu vistfangi kallandans, sem fyrir VPN-biðlara er útgangan frekar en heimtenging áskrifandans:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Ef þetta vistfang tilheyrir útgangi þjónustuveitandans í öðru landi hefur landákvörðunin þegar verið tekin og ekkert á biðlaranum mun breyta henni. Skrifaðu vistfangið í miðann áður en þú snertir stillingu, því það er eina staðreynd skýrslunnar sem þú og þjónustan eruð sammála um.

Skref 2: aðskildu land frá orðspori

CloudFront ákvarðar staðsetningu áhorfandans úr GeoIP-gagnagrunni þriðja aðila sem er lyklaður á upprunavistfang beiðninnar, og vörpunin er gróf og svæðisbundin, ekki nákvæm staðsetning. Þegar ekki er hægt að ákvarða staðsetningu er skjalfesta sjálfgefið gildið að þjóna efni. Þannig eru þrjú möguleg ástand: útgangurinn varpast á lokað land, á leyft land, eða gagnagrunninum er sama og beiðnin heldur áfram.

Notandi í lokuðu landi getur virst vera í leyfðu ef veitandinn hefur útgang þar, og notandi í leyfðu landi getur verið lokaður vegna þess að útgangurinn er skráður annars staðar. Hvorug niðurstaðan sannar að takmörkunin sé brotin. Báðar eru takmörkunin að vinna á því vistfangi sem henni var gefið, eins og skjöl CloudFront um landfræðilegar takmarkanir lýsa.

Orðspor er annar ásinn og það lifir gönguna af. Stýrða AWS WAF-reglusettið fyrir nafnlaus IP-vistföng er byggt til að loka beiðnum frá VPN, umboðsþjónum, Tor-hnútum og hýsingaveitendum, svo beiðni sem stenst landlögun getur samt verið hafnað vegna þess hvað vistfangið er, ekki hvar það er. Ef lokunin hófst þegar þú fluttir gönguna á skýjaþjón, er þetta líklega lagið.

Skref 3: athugaðu hegðun kvótans

Sameiginlegar útgöngur mistekst á þriðja hátt. Hraðatakmarkanir á hvert IP og talning lota meðhöndla eitt vistfang sem einn biðlara, og neytandaútganga ber marga áskrifendur í einu, svo beiðnamynstur sem er venjulegt frá heimtengingu lítur út eins og sjálfvirkni frá útganginum. Einkennið er takmörkun eða tímabundin lokun sem hverfur sjálf, ekki landfræðileg villuskilaboð.

Dreifing getur líka talið lotur á hvert vistfang viljandi, til dæmis með Lambda@Edge-aðgerð sem skrifar í DynamoDB. Það auðkennir ekki manneskjuna bak við útganginn, en það lætur eitt vistfang hegða sér eins og einn biðlari, sem er oft raunverulegi tilgangurinn. Skráðu mismunandi vistföngin bak við kvörtun áður en einhverju þröskuldi er stillt, því fyrirtækja-NAT fyrir framan tvö hundruð skrifborð lítur nákvæmlega út eins og annasöm útganga að utan. Búðu þig við rangt jákvæðum frá fyrirtækja-NAT, háskólaneti eða stóru heimili sem öll sýna eitt vistfang.

Skoðaðu sýndarbeiðnir WAF og mælikvarða reglna sem byggja á hraða áður en þú kennir landfræðinni um. Regla sem kviknar á beiðnamagni útgangsins skilur eftir skýra undirskrift, og hún segir þér líka hvort lagfæringin er aðlögun takmarka eða önnur útgangsleið.

Hvað á að breyta, og í hvaða röð

Ákveddu fyrst hvað stjórnin er fyrir. Að halda svæðisbundnum vörulista, takmarka misnotkun og framfylgja samningi eru þrjú mismunandi markmið, og aðeins það fyrsta er leyst með landalista. Ef markmiðið er stjórn á misnotkun, er útgangurinn röng eining auðkennis, og engin magn af leyfðum listum mun gera sameiginlegt vistfang áreiðanlegt.

Ef virkilega er þörf á stöðugu vistfangi fyrir leyfðan lista hjálpar sérstök eða kyrr útganga því hægt er að skrá vistfangið og það snýst ekki. Það gerir vistfangið ekki að íbúðarhúsnæði og breytir ekki því landi sem GeoIP-gagnagrunnur úthlutar því. Að snúa útgöngum þar til ein virkar er tímabundin orðsporsbreyting, ekki lagfæring á stefnunni.

Skrifaðu síðan niðurstöðuna með þeim hugtökum sem beiðandinn notaði: þetta vistfang er lokað eftir landi, orðspori eða hraða, og þetta er stjórnin sem mun breytast. Allt óljósara býður sama miðanum í næstu viku með aðra útgöngu.