VPN артындагы CloudFront геоблоктоосу: чыгууну диагностикалоо

Географиялык чектөө — IP дареги тууралуу чечим, ал эми VPN кызмат көргөн даректи өзгөртөт. Ушул бир сүйлөм колдоо кезегине келген түшүнүксүз билдирүүлөрдүн көбүн түшүндүрөт: «сайт үйдө иштейт, ал эми туннелде иштебейт» жана «сайт туннелде иштейт, бирок кеңседе башка эч ким аны жүктөй албайт» — бир механизмдин карама-каршы натыйжалары. Бул колдонмо диагностиканы себептерди жокко чыгарган тартипте жүргүзөт, четтин сизге чындап эмне айтканынан баштайт. Ошол эле чыгуу дареги бир көзөмөлдөн өтүп, кийинкисинде иштебей калышы мүмкүн, анткени ар бир көзөмөл ошол даректин башка касиетин баалайт.

Бир нерсени өзгөртүүдөн мурун 403тү окуңуз

Геоблок да, WAF блогу да 403 катары келет жана алар ар башка жерде оңдолот. Жооп аталыштарын жана дененин биринчи сабын жазып алыңыз, анткени CloudFront кэш аталышын жана себеп сабын кошот, алар кайсы катмар жооп бергенин айтат:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

География себебинен таратуу өзү сурамды блоктогондо, денеде өлкө чектөөсүн атаган билдирүү болот. Аны WAF эрежеси блоктогондо, дене адатта жалпы тыюу салынган барак болот, ал эми аталыштардагы таратуу сурамынын IDсин WAF журналдарына алып барасыз. Бул жерде ката кетирүү сизди ылдамдыкка негизделген эреже маселеси үчүн уруксат берилген өлкөлөрдүн тизмесине жөнөтөт, бул ийгиликтүү боло албаган бир күндүк иш.

1-кадам: таратуу кайсы даректи көрөрүн тастыктаңыз

Желеден сырткы дүйнө эмнени көрөрүн сураңыз, иштебей жаткан браузер колдонгон ошол эле машинадан жана ошол эле маршруттан. curl -s https://checkip.amazonaws.com чакырган тараптын коомдук дарегин кайтарат, VPN кардары үчүн бул абоненттин үй байланышы эмес, чыгуу:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Эгер бул дарек провайдериңиздин башка өлкөдөгү чыгуусуна таандык болсо, геочечим мурун эле кабыл алынган жана кардар тарапта эч нерсе аны өзгөртпөйт. Даректи жөндөөгө тийүүдөн мурун билетке жазыңыз, анткени бул — отчётто сиз жана кызмат макул болгон жалгыз факт.

2-кадам: өлкөнү репутациядан бөлүңүз

CloudFront көрүүчүнүн жайгашкан жерин сурамдын булак дарегине байланган үчүнчү тараптын GeoIP маалымат базасынан аныктайт, ал эми карталоо так аныктоо эмес, болжолдуу жана аймактык. Жайгашкан жерди аныктоо мүмкүн болбогондо, документтештирилген демейки — мазмунду берүү. Ошондуктан үч мүмкүн болгон абал бар: чыгуу блоктолгон өлкөгө, уруксат берилген өлкөгө карталанат, же маалымат базасынын пикири жок жана сурам уланат.

Блоктолгон өлкөдөгү колдонуучу провайдердин ал жерде чыгуусу болсо, уруксат берилген өлкөдөгүдөй көрүнүшү мүмкүн, ал эми уруксат берилген өлкөдөгү колдонуучу чыгуу башка жерде катталгандыктан блоктолушу мүмкүн. Натыйжалардын бири да чектөөнүн бузулганын далилдебейт. Экөө тең чектөөнүн өзүнө берилген дарекке карата иштеши, CloudFront географиялык чектөөлөр документи сүрөттөгөндөй.

Репутация — экинчи огу жана ал туннелден аман калат. AWS WAFтын анонимдүү IP үчүн башкарылуучу эрежелер тобу VPN, прокси, Tor түйүндөрү жана хостинг провайдерлеринен келген сурамдарды блоктоо үчүн курулган, ошондуктан өлкө текшерүүсүнөн өткөн сурам да даректин кайда экенине эмес, эмне экенине байланыштуу четке кагылышы мүмкүн. Эгер блоктоо туннелди булут хостуна которгондо башталса, бул ошол катмар болушу ыктымал.

3-кадам: квотанын жүрүм-турумун текшериңиз

Жалпы чыгуулар үчүнчү жол менен иштебей калат. IPге карата ылдамдык чектөөлөрү жана сессияларды эсептөө бир даректи бир кардар катары карайт, ал эми керектөөчү чыгуусу бир убакта көп абонентти көтөрөт, ошондуктан үй байланышынан кадимки көрүнгөн сурам үлгүсү чыгуу тараптан автоматташтыруу сыяктуу көрүнөт. Белгиси — өзү жоголгон чектөө же убактылуу блок, географиялык ката билдирүүсү эмес.

Таратуу дарек боюнча сессияларды атайын эсептеши мүмкүн, мисалы DynamoDBге жазуучу Lambda@Edge функциясы менен. Бул чыгуунун артындагы адамды аныктабайт, бирок бир даректи бир кардардай жүрүм-турумга келтирет, бул көбүнчө чыныгы ниет. Каалаган босогону оңдоо алдында ар кандай даректерди жазып алыңыз, анткени эки жүз үстөлдүн алдындагы корпоративдик NAT сырттан дал бош эмес чыгуу сыяктуу көрүнөт. Корпоративдик NAT, университет желеси же бир даректи сунуштаган чоң үй-бүлө тараптан жалган оң натыйжаларды күтүңүз.

Географияны күнөөлөөдөн мурун WAFтын үлгү сурамдарын жана ылдамдыкка негизделген эреже көрсөткүчтөрүн караңыз. Чыгуунун сурам көлөмүндө иштеген эреже ачык из калтырат жана оңдоо чекти жөндөөбү же башка чыгуу жолубу — аны да айтат.

Эмнени өзгөртүү керек жана кандай тартипте

Алгач көзөмөлдүн эмне үчүн экенин чечиңиз. Аймактык каталогду кармоо, терс пайдаланууну чектөө жана келишимди аткаруу — үч башка максат, жана биринчисин гана өлкөлөр тизмеси чечет. Эгер максат терс пайдаланууну көзөмөлдөө болсо, чыгуу — инсандыктын туура эмес бирдиги, жана канча уруксат тизмеси болбосун жалпы даректи ишенимдүү кылбайт.

Эгер уруксат тизмеси үчүн чындап туруктуу дарек керек болсо, атайын же статикалык чыгуу жардам берет, анткени даректи каттоого болот жана ал айланбайт. Бул даректи турак жай кылбайт жана GeoIP маалымат базасы берген өлкөнү да өзгөртпөйт. Бирөө иштегенче чыгууларды айландыруу — репутациянын убактылуу өзгөрүшү, саясатты оңдоо эмес.

Андан кийин натыйжаны сурам ээси колдонгон терминдер менен жазыңыз: бул дарек өлкө, репутация же ылдамдык боюнча блоктолгон, жана өзгөрө турган көзөмөл — ушул. Андан да бүдөмүк туюнтма кийинки жумада ошол эле билетти башка чыгуу менен чакырат.