CloudFront-ის გეოგრაფიული ბლოკირება VPN-ის უკან: გასასვლელის დიაგნოსტიკა

გეოგრაფიული შეზღუდვა გადაწყვეტილებაა IP მისამართზე, ხოლო VPN ცვლის, რომელ მისამართს ხედავს სერვისი. ეს ერთი წინადადება ხსნის მხარდაჭერის რიგში მოსული გაუგებარი მოხსენებების უმეტესობას: «საიტი სახლში მუშაობს და გვირაბზე ვარდება» და «საიტი გვირაბზე მუშაობს, მაგრამ ოფისში ვერავინ ხსნის» ერთი და იგივე მექანიზმია საპირისპირო შედეგებით. ეს სახელმძღვანელო დიაგნოსტიკას ატარებს იმ თანმიმდევრობით, რომელიც გამორიცხავს მიზეზებს, დაწყებული იმით, რაც ზღვარმა რეალურად გითხრათ. ერთი და იგივე გასასვლელი მისამართი შეიძლება გაიაროს ერთი კონტროლი და ვარდეს შემდეგზე, რადგან თითოეული კონტროლი აფასებს ამ მისამართის სხვადასხვა თვისებას.

წაიკითხეთ 403, სანამ რამეს შეცვლით

გეობლოკიც და WAF ბლოკიც 403-ად მოდის და სხვადასხვა ადგილას სწორდება. ჩაიწერეთ პასუხის თავსართები და სხეულის პირველი სტრიქონი, რადგან CloudFront ამატებს ქეშის თავსართს და მიზეზის სტრიქონს, რომლებიც გეუბნებიან, რომელი ფენა გამოეხმაურა:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

როცა გავრცელებამ თავად დაბლოკა მოთხოვნა გეოგრაფიის გამო, სხეულს აქვს შეტყობინება ქვეყნის შეზღუდვის სახელით. როცა WAF წესმა დაბლოკა, სხეული ჩვეულებრივ ზოგადი აკრძალული გვერდია და თავსართებში არსებული გავრცელების მოთხოვნის ID არის ის, რასაც WAF-ის ჟურნალებში მიიტანთ. აქ შეცდომა გაგზავნით ნებადართული ქვეყნების სიაში სიჩქარეზე დაფუძნებული წესის პრობლემის გამო, რაც ერთი დღის სამუშაოა და ვერ წარმატდება.

ნაბიჯი 1: დაადასტურეთ, რომელ მისამართს ხედავს გავრცელება

ჰკითხეთ ქსელს, რას ხედავს გარე სამყარო, იმავე მანქანიდან და იმავე მარშრუტით, რომელსაც წარუმატებელი ბრაუზერი იყენებს. curl -s https://checkip.amazonaws.com აბრუნებს გამომძახებლის საჯარო მისამართს, რომელიც VPN კლიენტისთვის გასასვლელია და არა აბონენტის სახლის კავშირი:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

თუ ეს მისამართი თქვენი მომწოდებლის გასასვლელს ეკუთვნის სხვა ქვეყანაში, გეოგრაფიული გადაწყვეტილება უკვე მიღებულია და კლიენტზე ვერაფერი შეცვლის მას. ჩაწერეთ მისამართი ბილეთში, სანამ რომელიმე პარამეტრს შეეხებით, რადგან ეს ერთადერთი ფაქტია მოხსენებაში, რაზეც თქვენ და სერვისი თანხმდებით.

ნაბიჯი 2: გამოყავით ქვეყანა რეპუტაციისგან

CloudFront მაყურებლის მდებარეობას ადგენს მესამე მხარის GeoIP მონაცემთა ბაზიდან, რომელიც მოთხოვნის წყაროს მისამართზეა დაფუძნებული, და დამთხვევა მიახლოებითი და რეგიონულია, არა ზუსტი განსაზღვრა. როცა მდებარეობის დადგენა შეუძლებელია, დოკუმენტირებული ნაგულისხმევია კონტენტის მიწოდება. ამიტომ სამი შესაძლო მდგომარეობაა: გასასვლელი დაბლოკილ ქვეყანაში აისახება, ნებადართულ ქვეყანაში, ან ბაზას აზრი არ აქვს და მოთხოვნა გრძელდება.

დაბლოკილი ქვეყნის მომხმარებელი შეიძლება ნებადართულში მყოფად გამოჩნდეს, თუ მომწოდებელს იქ გასასვლელი აქვს, ხოლო ნებადართული ქვეყნის მომხმარებელი შეიძლება დაიბლოკოს, რადგან გასასვლელი სხვაგანაა რეგისტრირებული. არც ერთი შედეგი არ ამტკიცებს, რომ შეზღუდვა გატეხილია. ორივე შეზღუდვაა, რომელიც მოქმედებს მისთვის მიცემულ მისამართზე, როგორც აღწერს CloudFront-ის გეოგრაფიული შეზღუდვების დოკუმენტაცია.

რეპუტაცია მეორე ღერძია და ის გვირაბს გადაურჩება. AWS WAF-ის ანონიმური IP-ების მართული წესების ჯგუფი შექმნილია VPN-ების, პროქსების, Tor კვანძებისა და ჰოსტინგის მომწოდებლების მოთხოვნების დასაბლოკად, ამიტომ ქვეყნის შემოწმების გავლილ მოთხოვნას მაინც შეიძლება უარი ეთქვას იმის გამო, თუ რა არის მისამართი და არა სად არის. თუ ბლოკირება მაშინ დაიწყო, როცა გვირაბი ღრუბლოვან ჰოსტზე გადაიტანეთ, სავარაუდოდ ეს ფენაა.

ნაბიჯი 3: შეამოწმეთ კვოტის ქცევა

საერთო გასასვლელები მესამე გზით ვარდება. IP-ზე სიჩქარის ლიმიტები და სესიების რაოდენობა ერთ მისამართს ერთ კლიენტად განიხილავს, ხოლო მომხმარებლის გასასვლელი ერთდროულად ბევრ აბონენტს ატარებს, ამიტომ სახლის კავშირიდან ჩვეულებრივი მოთხოვნის ნიმუში გასასვლელიდან ავტომატიზაციად გამოიყურება. სიმპტომია შეზღუდვა ან დროებითი ბლოკი, რომელიც თავისით ქრება და არა გეოგრაფიული შეცდომის შეტყობინება.

გავრცელებას შეუძლია განზრახ დათვალოს სესიები მისამართზე, მაგალითად DynamoDB-ში მწერი Lambda@Edge ფუნქციით. ეს არ იდენტიფიცირებს გასასვლელის უკან მყოფ ადამიანს, მაგრამ ერთ მისამართს ერთი კლიენტივით აქცევს, რაც ხშირად ნამდვილი განზრახვაა. ჩაწერეთ საჩივრის უკან არსებული სხვადასხვა მისამართები, სანამ რომელიმე ზღვარს დაარეგულირებთ, რადგან ორასი მაგიდის წინ მყოფი კორპორატიული NAT გარედან ზუსტად დაკავებულ გასასვლელს ჰგავს. მოელით ცრუ დადებითებს კორპორატიული NAT-იდან, უნივერსიტეტის ქსელიდან ან დიდი ოჯახიდან, რომლებიც ყველა ერთ მისამართს წარმოადგენს.

სანამ გეოგრაფიას დაადანაშაულებთ, შეხედეთ WAF-ის ნიმუშ მოთხოვნებს და სიჩქარეზე დაფუძნებული წესების მეტრიკებს. გასასვლელის მოთხოვნების მოცულობაზე ამოქმედებული წესი მკაფიო კვალს ტოვებს და ასევე გეუბნებათ, ლიმიტის კორექტირებაა გამოსავალი თუ სხვა გასასვლელი გზა.

რა შევცვალოთ და რა თანმიმდევრობით

ჯერ გადაწყვიტეთ, რისთვისაა კონტროლი. რეგიონული კატალოგის შენარჩუნება, ბოროტად გამოყენების შეზღუდვა და ხელშეკრულების აღსრულება სამი განსხვავებული მიზანია და მხოლოდ პირველს აგვარებს ქვეყნების სია. თუ მიზანი ბოროტად გამოყენების კონტროლია, გასასვლელი იდენტობის არასწორი ერთეულია და ნებადართული სიების ვერცერთი რაოდენობა საერთო მისამართს სანდოს არ გახდის.

თუ ნებადართული სიისთვის ნამდვილად გჭირდებათ სტაბილური მისამართი, გამოყოფილი ან სტატიკური გასასვლელი გეხმარებათ, რადგან მისამართის რეგისტრაცია შეიძლება და ის არ ბრუნავს. ეს არ ხდის მისამართს საცხოვრებელს და არ ცვლის ქვეყანას, რომელსაც GeoIP ბაზა ანიჭებს. გასასვლელების ბრუნვა, სანამ ერთი იმუშავებს, რეპუტაციის დროებითი ცვლილებაა და არა პოლიტიკის შესწორება.

შემდეგ ჩაწერეთ შედეგი იმ ტერმინებით, რომლებიც მომთხოვნმა გამოიყენა: ეს მისამართი დაბლოკილია ქვეყნის, რეპუტაციის ან სიჩქარის გამო და ეს არის კონტროლი, რომელიც შეიცვლება. უფრო ბუნდოვანი ფორმულირება მომავალ კვირას იმავე ბილეთს სხვა გასასვლელით იწვევს.