VPN артындағы CloudFront геоблоктауы: шығысты диагностикалау

Географиялық шектеу — IP мекенжайы туралы шешім, ал VPN қызмет көретін мекенжайды өзгертеді. Осы бір сөйлем қолдау кезегіне келетін шатасқан хабарламалардың көбін түсіндіреді: «сайт үйде жұмыс істейді, ал туннельде сәтсіз аяқталады» және «сайт туннельде жұмыс істейді, бірақ кеңседе басқа ешкім оны жүктей алмайды» — бір механиканың қарама-қарсы нәтижелері. Бұл нұсқаулық диагностиканы себептерді жоятын ретпен жүргізеді, шеттің сізге шын мәнінде не айтқанынан бастайды. Бір шығыс мекенжайы бір бақылаудан өтіп, келесісінде сәтсіз болуы мүмкін, өйткені әр бақылау сол мекенжайдың басқа қасиетін бағалайды.

Бірдеңені өзгертпес бұрын 403-ті оқыңыз

Геоблок та, WAF блогы да 403 ретінде келеді және олар әртүрлі жерде түзетіледі. Жауап тақырыптары мен дененің бірінші жолын жазып алыңыз, өйткені CloudFront кэш тақырыбы мен себеп жолын қосады, олар қай қабат жауап бергенін айтады:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

География себебінен таратымның өзі сұранысты блоктаған кезде, денеде ел шектеуін атайтын хабарлама болады. Оны WAF ережесі блоктаған кезде, дене әдетте жалпы тыйым салынған бет болады, ал тақырыптардағы таратым сұранысының ID-і WAF журналдарына апаратын нәрсе. Мұнда қателесу сізді жылдамдыққа негізделген ереже мәселесі үшін рұқсат етілген елдер тізіміне жібереді, бұл — сәтті болуы мүмкін емес бір күндік жұмыс.

1-қадам: таратым қай мекенжайды көретінін растаңыз

Желіден сыртқы әлемнің не көретінін сұраңыз, сәтсіз браузер қолданатын сол машинадан және сол маршрутпен. curl -s https://checkip.amazonaws.com қоңырау шалушының жария мекенжайын қайтарады, VPN клиенті үшін бұл абоненттің үй байланысы емес, шығыс:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Егер бұл мекенжай провайдеріңіздің басқа елдегі шығысына тиесілі болса, геошешім әлдеқашан қабылданған және клиентте ештеңе оны өзгертпейді. Мекенжайды параметрге қол тигізбес бұрын билетке жазыңыз, өйткені бұл — есепте сіз бен қызмет келісетін жалғыз факт.

2-қадам: елді беделден ажыратыңыз

CloudFront көрерменнің орнын сұраныстың бастапқы мекенжайына байланған үшінші тараптың GeoIP дерекқорынан анықтайды, ал сәйкестендіру дәл анықтау емес, шамамен және аймақтық. Орынды анықтау мүмкін болмағанда, құжатталған әдепкі — мазмұнды беру. Сондықтан үш мүмкін күй бар: шығыс блокталған елге, рұқсат етілген елге сәйкестендіріледі, немесе дерекқордың пікірі жоқ және сұраныс жалғасады.

Блокталған елдегі пайдаланушы провайдердің онда шығысы болса, рұқсат етілген елде сияқты көрінуі мүмкін, ал рұқсат етілген елдегі пайдаланушы шығыс басқа жерде тіркелгендіктен блокталуы мүмкін. Нәтижелердің ешқайсысы шектеудің бұзылғанын дәлелдемейді. Екеуі де шектеудің өзіне берілген мекенжайға қатысты жұмыс істеуі, CloudFront географиялық шектеулер құжаты сипаттағандай.

Бедел — екінші ось және ол туннельден аман қалады. AWS WAF-тың анонимді IP үшін басқарылатын ережелер тобы VPN, прокси, Tor тораптары және хостинг провайдерлерінен келетін сұраныстарды блоктау үшін құрылған, сондықтан ел тексерісінен өткен сұраныс та мекенжайдың қайда екеніне емес, не екеніне байланысты қабылданбауы мүмкін. Егер блоктау туннельді бұлтты хостқа ауыстырған кезде басталса, бұл сол қабат болуы ықтимал.

3-қадам: квота мінез-құлқын тексеріңіз

Ортақ шығыстар үшінші жолмен сәтсіз болады. IP-ге шаққандағы жылдамдық шектеулері мен сессия санағы бір мекенжайды бір клиент ретінде қарастырады, ал тұтынушы шығысы бір уақытта көп абонентті көтереді, сондықтан үй байланысынан қарапайым көрінетін сұраныс үлгісі шығыс жағынан автоматтандыру болып көрінеді. Белгісі — өздігінен кететін шектеу немесе уақытша блок, географиялық қате хабарламасы емес.

Таратым мекенжай бойынша сессияларды әдейі санай алады, мысалы DynamoDB-ге жазатын Lambda@Edge функциясымен. Бұл шығыс артындағы адамды анықтамайды, бірақ бір мекенжайды бір клиент сияқты әрекет еткізеді, бұл көбіне нақты ниет. Кез келген шекті реттемес бұрын шағым артындағы әртүрлі мекенжайларды жазып алыңыз, өйткені екі жүз үстелдің алдындағы корпоративтік NAT сырттан дәл бос емес шығыс сияқты көрінеді. Корпоративтік NAT, университет желісі немесе бір мекенжайды ұсынатын үлкен отбасы тарапынан жалған оң нәтижелерді күтіңіз.

Географияны кінәламас бұрын WAF-тың іріктелген сұраныстары мен жылдамдыққа негізделген ереже көрсеткіштерін қараңыз. Шығыстың сұраныс көлеміне іске қосылатын ереже айқын із қалдырады және түзету шекті реттеу ме, әлде басқа шығыс жолы ма — соны да айтады.

Нені өзгерту керек және қандай ретпен

Алдымен бақылаудың не үшін екенін шешіңіз. Аймақтық каталогты ұстау, теріс пайдалануды шектеу және шартты орындау — үш түрлі мақсат, ал тек біріншісін ел тізімі шешеді. Егер мақсат теріс пайдалануды бақылау болса, шығыс — сәйкестіліктің дұрыс емес бірлігі, және қанша рұқсат тізімі болса да ортақ мекенжайды сенімді етпейді.

Егер рұқсат тізімі үшін шынымен тұрақты мекенжай қажет болса, арнайы немесе статикалық шығыс көмектеседі, өйткені мекенжайды тіркеуге болады және ол айналмайды. Бұл мекенжайды тұрғын үй етпейді және GeoIP дерекқоры оған беретін елді өзгертпейді. Біреуі істегенше шығыстарды айналдыру — беделдің уақытша өзгеруі, саясатты түзету емес.

Содан кейін нәтижені сұраныс иесі қолданған терминдермен жазыңыз: бұл мекенжай ел, бедел немесе жылдамдық бойынша блокталған, және өзгеретін бақылау — осы. Одан да бұлыңғыр тұжырым келесі аптада сол билетті басқа шығыспен шақырады.