VPN ಹಿಂದೆ CloudFront ಭೌಗೋಳಿಕ ಬ್ಲಾಕಿಂಗ್: ನಿರ್ಗಮನವನ್ನು ಪತ್ತೆಹಚ್ಚಿ

ಭೌಗೋಳಿಕ ನಿರ್ಬಂಧವು IP ವಿಳಾಸದ ಬಗ್ಗೆ ತೀರ್ಮಾನವಾಗಿದೆ, ಮತ್ತು VPN ಸೇವೆ ಯಾವ ವಿಳಾಸವನ್ನು ನೋಡುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಿಸುತ್ತದೆ. ಆ ಒಂದೇ ವಾಕ್ಯವು ಬೆಂಬಲ ಸರತಿಗೆ ಬರುವ ಹೆಚ್ಚಿನ ಗೊಂದಲದ ವರದಿಗಳನ್ನು ವಿವರಿಸುತ್ತದೆ: «ಸೈಟ್ ಮನೆಯಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಸುರಂಗದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ» ಮತ್ತು «ಸೈಟ್ ಸುರಂಗದಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಆದರೆ ಕಚೇರಿಯಲ್ಲಿ ಬೇರೆ ಯಾರಿಗೂ ಅದನ್ನು ಲೋಡ್ ಮಾಡಲು ಸಾಧ್ಯವಿಲ್ಲ» ಎಂಬುದು ಒಂದೇ ಕಾರ್ಯವಿಧಾನದ ವಿರುದ್ಧ ಫಲಿತಾಂಶಗಳು. ಈ ಕೈಪಿಡಿಯು ಕಾರಣಗಳನ್ನು ಹೊರಗಿಡುವ ಕ್ರಮದಲ್ಲಿ ಪತ್ತೆಹಚ್ಚುವಿಕೆಯನ್ನು ನಡೆಸುತ್ತದೆ, ಎಡ್ಜ್ ನಿಮಗೆ ನಿಜವಾಗಿ ಏನು ಹೇಳಿತು ಎಂಬುದರಿಂದ ಪ್ರಾರಂಭಿಸಿ. ಅದೇ ನಿರ್ಗಮನ ವಿಳಾಸವು ಒಂದು ನಿಯಂತ್ರಣವನ್ನು ದಾಟಿ ಮುಂದಿನದರಲ್ಲಿ ವಿಫಲವಾಗಬಹುದು, ಏಕೆಂದರೆ ಪ್ರತಿ ನಿಯಂತ್ರಣವು ಆ ವಿಳಾಸದ ಬೇರೆ ಗುಣವನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ.

ಏನನ್ನೂ ಬದಲಿಸುವ ಮೊದಲು 403 ಓದಿ

ಭೌಗೋಳಿಕ ಬ್ಲಾಕ್ ಮತ್ತು WAF ಬ್ಲಾಕ್ ಎರಡೂ 403 ಆಗಿ ಬರುತ್ತವೆ, ಮತ್ತು ಅವು ಬೇರೆ ಬೇರೆ ಸ್ಥಳಗಳಲ್ಲಿ ಸರಿಪಡಿಸಲ್ಪಡುತ್ತವೆ. ಪ್ರತಿಕ್ರಿಯೆ ಹೆಡರ್ಗಳನ್ನು ಮತ್ತು ಬಾಡಿಯ ಮೊದಲ ಸಾಲನ್ನು ಸೆರೆಹಿಡಿಯಿರಿ, ಏಕೆಂದರೆ CloudFront ಕ್ಯಾಶ್ ಹೆಡರ್ ಮತ್ತು ಕಾರಣ ಸ್ಟ್ರಿಂಗ್ ಸೇರಿಸುತ್ತದೆ, ಅವು ಯಾವ ಪದರ ಉತ್ತರಿಸಿತು ಎಂದು ಹೇಳುತ್ತವೆ:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

ವಿತರಣೆಯೇ ಭೌಗೋಳಿಕತೆಯಿಂದ ವಿನಂತಿಯನ್ನು ನಿರ್ಬಂಧಿಸಿದಾಗ, ಬಾಡಿಯು ದೇಶ ನಿರ್ಬಂಧವನ್ನು ಹೆಸರಿಸುವ ಸಂದೇಶವನ್ನು ಹೊಂದಿರುತ್ತದೆ. WAF ನಿಯಮವು ಅದನ್ನು ನಿರ್ಬಂಧಿಸಿದಾಗ, ಬಾಡಿ ಸಾಮಾನ್ಯವಾಗಿ ಸಾಮಾನ್ಯ ನಿಷೇಧಿತ ಪುಟವಾಗಿರುತ್ತದೆ ಮತ್ತು ಹೆಡರ್ಗಳಲ್ಲಿನ ವಿತರಣೆ ವಿನಂತಿ ID ಅನ್ನು ನೀವು WAF ಲಾಗ್ಗಳಿಗೆ ಒಯ್ಯುತ್ತೀರಿ. ಇಲ್ಲಿ ತಪ್ಪು ಮಾಡಿದರೆ ದರ-ಆಧಾರಿತ ನಿಯಮದ ಸಮಸ್ಯೆಗಾಗಿ ನಿಮ್ಮನ್ನು ಅನುಮತಿಸಿದ ದೇಶಗಳ ಪಟ್ಟಿಗೆ ಕಳುಹಿಸುತ್ತದೆ, ಅದು ಯಶಸ್ವಿಯಾಗಲು ಸಾಧ್ಯವಿಲ್ಲದ ಒಂದು ದಿನದ ಕೆಲಸ.

ಹಂತ 1: ವಿತರಣೆ ಯಾವ ವಿಳಾಸವನ್ನು ನೋಡುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ

ವಿಫಲವಾಗುವ ಬ್ರೌಸರ್ ಬಳಸುವ ಅದೇ ಯಂತ್ರದಿಂದ ಮತ್ತು ಅದೇ ಮಾರ್ಗದಿಂದ ಹೊರಗಿನ ಜಗತ್ತು ಏನನ್ನು ನೋಡುತ್ತದೆ ಎಂದು ನೆಟ್ವರ್ಕ್ಗೆ ಕೇಳಿ. curl -s https://checkip.amazonaws.com ಕರೆ ಮಾಡುವವರ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ, VPN ಕ್ಲೈಂಟ್ಗೆ ಅದು ಚಂದಾದಾರರ ಮನೆ ಸಂಪರ್ಕವಲ್ಲ, ನಿರ್ಗಮನ:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

ಆ ವಿಳಾಸವು ಬೇರೆ ದೇಶದಲ್ಲಿ ನಿಮ್ಮ ಪೂರೈಕೆದಾರರ ನಿರ್ಗಮನಕ್ಕೆ ಸೇರಿದ್ದರೆ, ಭೌಗೋಳಿಕ ನಿರ್ಧಾರ ಈಗಾಗಲೇ ತೆಗೆದುಕೊಳ್ಳಲಾಗಿದೆ ಮತ್ತು ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಏನೂ ಅದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ. ಸೆಟ್ಟಿಂಗ್ ಮುಟ್ಟುವ ಮೊದಲು ವಿಳಾಸವನ್ನು ಟಿಕೆಟ್ನಲ್ಲಿ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಅದು ವರದಿಯಲ್ಲಿ ನೀವು ಮತ್ತು ಸೇವೆ ಒಪ್ಪುವ ಏಕೈಕ ಸತ್ಯ.

ಹಂತ 2: ದೇಶವನ್ನು ಖ್ಯಾತಿಯಿಂದ ಬೇರ್ಪಡಿಸಿ

CloudFront ವೀಕ್ಷಕರ ಸ್ಥಳವನ್ನು ವಿನಂತಿಯ ಮೂಲ ವಿಳಾಸದ ಮೇಲೆ ಆಧಾರಿತ ಮೂರನೇ ಪಕ್ಷದ GeoIP ಡೇಟಾಬೇಸ್ನಿಂದ ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಮ್ಯಾಪಿಂಗ್ ನಿಖರ ನಿರ್ಣಯವಲ್ಲ, ಅಂದಾಜು ಮತ್ತು ಪ್ರಾದೇಶಿಕ. ಸ್ಥಳವನ್ನು ನಿರ್ಧರಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದಾಗ, ದಾಖಲಿತ ಡೀಫಾಲ್ಟ್ ವಿಷಯವನ್ನು ನೀಡುವುದು. ಆದ್ದರಿಂದ ಮೂರು ಸಂಭಾವ್ಯ ಸ್ಥಿತಿಗಳಿವೆ: ನಿರ್ಗಮನವು ನಿರ್ಬಂಧಿತ ದೇಶಕ್ಕೆ, ಅನುಮತಿಸಿದ ದೇಶಕ್ಕೆ ಮ್ಯಾಪ್ ಆಗುತ್ತದೆ, ಅಥವಾ ಡೇಟಾಬೇಸ್ಗೆ ಅಭಿಪ್ರಾಯವಿಲ್ಲ ಮತ್ತು ವಿನಂತಿ ಮುಂದುವರಿಯುತ್ತದೆ.

ನಿರ್ಬಂಧಿತ ದೇಶದ ಬಳಕೆದಾರರು ಪೂರೈಕೆದಾರರಿಗೆ ಅಲ್ಲಿ ನಿರ್ಗಮನವಿದ್ದರೆ ಅನುಮತಿಸಿದ ದೇಶದಲ್ಲಿರುವಂತೆ ಕಾಣಬಹುದು, ಮತ್ತು ಅನುಮತಿಸಿದ ದೇಶದ ಬಳಕೆದಾರರು ನಿರ್ಗಮನ ಬೇರೆಡೆ ನೋಂದಾಯಿಸಲಾಗಿರುವುದರಿಂದ ನಿರ್ಬಂಧಿಸಲ್ಪಡಬಹುದು. ಯಾವುದೇ ಫಲಿತಾಂಶವು ನಿರ್ಬಂಧ ಮುರಿದಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಎರಡೂ ನಿರ್ಬಂಧವು ತನಗೆ ನೀಡಿದ ವಿಳಾಸದ ಮೇಲೆ ಕೆಲಸ ಮಾಡುತ್ತಿದೆ ಎಂಬುದೇ, CloudFront ಭೌಗೋಳಿಕ ನಿರ್ಬಂಧ ದಾಖಲೆ ವಿವರಿಸುವಂತೆ.

ಖ್ಯಾತಿ ಎರಡನೇ ಅಕ್ಷವಾಗಿದೆ ಮತ್ತು ಅದು ಸುರಂಗದಿಂದ ಬದುಕುಳಿಯುತ್ತದೆ. AWS WAF ನ ಅನಾಮಧೇಯ IP ಗಾಗಿ ನಿರ್ವಹಿತ ನಿಯಮ ಗುಂಪು VPN, ಪ್ರಾಕ್ಸಿ, Tor ನೋಡ್ಗಳು ಮತ್ತು ಹೋಸ್ಟಿಂಗ್ ಪೂರೈಕೆದಾರರಿಂದ ಬರುವ ವಿನಂತಿಗಳನ್ನು ನಿರ್ಬಂಧಿಸಲು ನಿರ್ಮಿಸಲಾಗಿದೆ, ಆದ್ದರಿಂದ ದೇಶ ಪರಿಶೀಲನೆಯನ್ನು ದಾಟಿದ ವಿನಂತಿಯೂ ವಿಳಾಸ ಎಲ್ಲಿದೆ ಎಂಬುದರಿಂದಲ್ಲ, ಏನು ಎಂಬುದರಿಂದ ನಿರಾಕರಿಸಬಹುದು. ನೀವು ಸುರಂಗವನ್ನು ಕ್ಲೌಡ್ ಹೋಸ್ಟ್ಗೆ ಸ್ಥಳಾಂತರಿಸಿದಾಗ ನಿರ್ಬಂಧ ಪ್ರಾರಂಭವಾದರೆ, ಇದು ಆ ಪದರವಾಗಿರಬಹುದು.

ಹಂತ 3: ಕೋಟಾ ವರ್ತನೆಯನ್ನು ಪರಿಶೀಲಿಸಿ

ಹಂಚಿಕೆಯ ನಿರ್ಗಮನಗಳು ಮೂರನೇ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ. ಪ್ರತಿ-IP ದರ ಮಿತಿಗಳು ಮತ್ತು ಅವಧಿಗಳ ಎಣಿಕೆ ಒಂದು ವಿಳಾಸವನ್ನು ಒಬ್ಬ ಕ್ಲೈಂಟ್ ಎಂದು ಪರಿಗಣಿಸುತ್ತವೆ, ಮತ್ತು ಗ್ರಾಹಕ ನಿರ್ಗಮನವು ಒಂದೇ ಸಮಯದಲ್ಲಿ ಅನೇಕ ಚಂದಾದಾರರನ್ನು ಹೊತ್ತೊಯ್ಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಮನೆ ಸಂಪರ್ಕದಿಂದ ಸಾಮಾನ್ಯವೆನಿಸುವ ವಿನಂತಿ ಮಾದರಿ ನಿರ್ಗಮನದಿಂದ ಸ್ವಯಂಚಾಲನೆಯಂತೆ ಕಾಣುತ್ತದೆ. ಲಕ್ಷಣವೆಂದರೆ ತಾನಾಗಿಯೇ ಮಾಯವಾಗುವ ಥ್ರಾಟ್ಲಿಂಗ್ ಅಥವಾ ತಾತ್ಕಾಲಿಕ ನಿರ್ಬಂಧ, ಭೌಗೋಳಿಕ ದೋಷ ಸಂದೇಶವಲ್ಲ.

ವಿತರಣೆಯು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಪ್ರತಿ ವಿಳಾಸಕ್ಕೆ ಅವಧಿಗಳನ್ನು ಎಣಿಸಬಹುದು, ಉದಾಹರಣೆಗೆ DynamoDB ಗೆ ಬರೆಯುವ Lambda@Edge ಕಾರ್ಯದೊಂದಿಗೆ. ಅದು ನಿರ್ಗಮನದ ಹಿಂದಿನ ವ್ಯಕ್ತಿಯನ್ನು ಗುರುತಿಸುವುದಿಲ್ಲ, ಆದರೆ ಒಂದು ವಿಳಾಸವನ್ನು ಒಬ್ಬ ಕ್ಲೈಂಟ್ನಂತೆ ವರ್ತಿಸುವಂತೆ ಮಾಡುತ್ತದೆ, ಅದು ಹೆಚ್ಚಾಗಿ ನಿಜವಾದ ಉದ್ದೇಶ. ಯಾವುದೇ ಮಿತಿಯನ್ನು ಸರಿಹೊಂದಿಸುವ ಮೊದಲು ದೂರಿನ ಹಿಂದಿನ ವಿಭಿನ್ನ ವಿಳಾಸಗಳನ್ನು ಲಾಗ್ ಮಾಡಿ, ಏಕೆಂದರೆ ಇನ್ನೂರು ಮೇಜುಗಳ ಮುಂದೆ ಇರುವ ಕಾರ್ಪೊರೇಟ್ NAT ಹೊರಗಿನಿಂದ ನಿಖರವಾಗಿ ನಿರತ ನಿರ್ಗಮನದಂತೆ ಕಾಣುತ್ತದೆ. ಕಾರ್ಪೊರೇಟ್ NAT, ವಿಶ್ವವಿದ್ಯಾಲಯ ನೆಟ್ವರ್ಕ್ ಅಥವಾ ಒಂದೇ ವಿಳಾಸವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುವ ದೊಡ್ಡ ಮನೆಯಿಂದ ತಪ್ಪು ಧನಾತ್ಮಕಗಳನ್ನು ನಿರೀಕ್ಷಿಸಿ.

ಭೂಗೋಳವನ್ನು ದೂಷಿಸುವ ಮೊದಲು WAF ನ ಮಾದರಿ ವಿನಂತಿಗಳು ಮತ್ತು ದರ-ಆಧಾರಿತ ನಿಯಮ ಮೆಟ್ರಿಕ್ಗಳನ್ನು ನೋಡಿ. ನಿರ್ಗಮನದ ವಿನಂತಿ ಪ್ರಮಾಣದಲ್ಲಿ ಸಕ್ರಿಯವಾಗುವ ನಿಯಮವು ಸ್ಪಷ್ಟ ಸಹಿಯನ್ನು ಬಿಡುತ್ತದೆ, ಮತ್ತು ಪರಿಹಾರವು ಮಿತಿ ಹೊಂದಾಣಿಕೆಯೇ ಅಥವಾ ಬೇರೆ ನಿರ್ಗಮನ ಮಾರ್ಗವೇ ಎಂದು ಸಹ ಹೇಳುತ್ತದೆ.

ಏನನ್ನು ಬದಲಿಸಬೇಕು, ಮತ್ತು ಯಾವ ಕ್ರಮದಲ್ಲಿ

ಮೊದಲು ನಿಯಂತ್ರಣ ಯಾವುದಕ್ಕೆ ಎಂದು ನಿರ್ಧರಿಸಿ. ಪ್ರಾದೇಶಿಕ ಕ್ಯಾಟಲಾಗ್ ಇಟ್ಟುಕೊಳ್ಳುವುದು, ದುರುಪಯೋಗವನ್ನು ಮಿತಿಗೊಳಿಸುವುದು ಮತ್ತು ಒಪ್ಪಂದವನ್ನು ಜಾರಿಗೊಳಿಸುವುದು ಮೂರು ವಿಭಿನ್ನ ಗುರಿಗಳು, ಮತ್ತು ಮೊದಲನೆಯದನ್ನು ಮಾತ್ರ ದೇಶಗಳ ಪಟ್ಟಿ ಪರಿಹರಿಸುತ್ತದೆ. ಗುರಿ ದುರುಪಯೋಗ ನಿಯಂತ್ರಣವಾದರೆ, ನಿರ್ಗಮನವು ಗುರುತಿನ ತಪ್ಪು ಘಟಕ, ಮತ್ತು ಎಷ್ಟೇ ಅನುಮತಿ ಪಟ್ಟಿಗಳಿದ್ದರೂ ಹಂಚಿಕೆಯ ವಿಳಾಸವನ್ನು ವಿಶ್ವಾಸಾರ್ಹವಾಗಿಸುವುದಿಲ್ಲ.

ಅನುಮತಿ ಪಟ್ಟಿಗೆ ನಿಜವಾಗಿಯೂ ಸ್ಥಿರ ವಿಳಾಸ ಬೇಕಾದರೆ, ಮೀಸಲಾದ ಅಥವಾ ಸ್ಥಿರ ನಿರ್ಗಮನ ಸಹಾಯ ಮಾಡುತ್ತದೆ ಏಕೆಂದರೆ ವಿಳಾಸವನ್ನು ನೋಂದಾಯಿಸಬಹುದು ಮತ್ತು ಅದು ತಿರುಗುವುದಿಲ್ಲ. ಅದು ವಿಳಾಸವನ್ನು ವಸತಿ ಎಂದು ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು GeoIP ಡೇಟಾಬೇಸ್ ಅದಕ್ಕೆ ನೀಡುವ ದೇಶವನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ. ಒಂದು ಕೆಲಸ ಮಾಡುವವರೆಗೆ ನಿರ್ಗಮನಗಳನ್ನು ತಿರುಗಿಸುವುದು ತಾತ್ಕಾಲಿಕ ಖ್ಯಾತಿ ಬದಲಾವಣೆ, ನೀತಿಯ ಪರಿಹಾರವಲ್ಲ.

ನಂತರ ಫಲಿತಾಂಶವನ್ನು ವಿನಂತಿದಾರರು ಬಳಸಿದ ಪದಗಳಲ್ಲಿ ಬರೆಯಿರಿ: ಈ ವಿಳಾಸವು ದೇಶ, ಖ್ಯಾತಿ ಅಥವಾ ದರದಿಂದ ನಿರ್ಬಂಧಿತವಾಗಿದೆ, ಮತ್ತು ಬದಲಾಗುವ ನಿಯಂತ್ರಣ ಇದು. ಹೆಚ್ಚು ಅಸ್ಪಷ್ಟವಾದ ಯಾವುದೇ ವಿಷಯ ಮುಂದಿನ ವಾರ ಅದೇ ಟಿಕೆಟ್ ಅನ್ನು ಬೇರೆ ನಿರ್ಗಮನದೊಂದಿಗೆ ಆಮಂತ್ರಿಸುತ್ತದೆ.