CloudFront-Geoblockade hannert engem VPN: den Ausgang diagnostizéieren

Eng geografesch Restriktioun ass eng Entscheedung iwwer eng IP-Adress, an e VPN ännert, wat fir eng Adress den Déngscht gesäit. Dee eenzege Saz erkläert déi meescht verwirend Meldungen, déi an en Support-Queue kommen: „d'Säit funktionéiert doheem a versot am Tunnel“ an „d'Säit funktionéiert am Tunnel awer keen aneren am Büro kann se lueden“ sinn deeselwechte Mechanismus mat entgéintgesate Resultater. Dëse Guide geet d'Diagnose an der Rei duerch, déi Ursaachen ausschléisst, ugefaange mat deem, wat den Edge Iech tatsächlech gesot huet. Déiselwecht Ausgangsadress kann eng Kontroll passéieren an déi nächst versoen, well all Kontroll eng aner Eegenschaft vun där Adress bewäert.

Liest den 403, ier Dir eppes ännert

Eng Geoblockade an eng WAF-Blockade kommen allebéid als 403, an si ginn op verschiddene Plazen reparéiert. Erfaasst d'Äntwert-Headeren an déi éischt Linn vum Body, well CloudFront en Cache-Header an eng Grond-Zeechenket bäisetzt, déi Iech soen, wéi eng Schicht geäntwert huet:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Wann d'Verdeelung selwer d'Ufro wéinst Geografie blockéiert huet, dréit de Body eng Noriicht, déi d'Landrestriktioun nennt. Wann eng WAF-Regel se blockéiert huet, ass de Body meeschtens eng generesch verbueden Säit an d'Verdeelungs-Ufro-ID an den Headeren ass dat, wat Dir an d'WAF-Loggen hëlt. E Feeler hei schéckt Iech fir e Problem mat enger vitessbaséierter Regel op d'Land-Allowlist, wat en Aarbechtsdag ass, deen net kann geléngt.

Schrëtt 1: bestätegt, wéi eng Adress d'Verdeelung gesäit

Frot d'Netzwierk, wat d'Aussewelt gesäit, vun der selwechter Maschinn an iwwer dee selwechte Wee wéi de Browser, dee versot. curl -s https://checkip.amazonaws.com gëtt d'ëffentlech Adress vum Uruffer zréck, déi fir e VPN-Client den Ausgang an net d'Heemverbindung vum Abonnent ass:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Wann déi Adress zum Ausgang vun Ärem Ubidder an engem anere Land gehéiert, ass d'Geodécision schonn gefall an näischt um Client wäert se änneren. Schreift d'Adress an den Ticket, ier Dir eng Astellung beréiert, well et deen eenzege Fakt am Rapport ass, iwwer deen Dir an den Déngscht eens sidd.

Schrëtt 2: trennt d'Land vun der Reputatioun

CloudFront bestëmmt de Standuert vum Spectateur aus enger GeoIP-Datebank vun Drëtten, déi op d'Quelladress vun der Ufro baséiert, an d'Mapéierung ass ongeféier a regional, net eng prezis Bestëmmung. Wann de Standuert net bestëmmt ka ginn, ass den dokumentéierte Standard, den Inhalt nach ze liwweren. Et gëtt also dräi méiglech Zouberäicher: den Ausgang mapéiert op e blockéiert Land, op en erlaabt Land, oder d'Datebank huet keng Meenung an d'Ufro geet weider.

En Notzer an engem blockéierte Land kann an engem erlaabten erschéngen, wann den Ubidder do en Ausgang huet, an en Notzer an engem erlaabte Land kann blockéiert ginn, well den Ausgang soss anzwousch registréiert ass. Keng vun den zwou Resultatë beweist, datt d'Restriktioun futti ass. Béid sinn d'Restriktioun, déi op der Adress schafft, déi se krut, wéi d'CloudFront-Dokumentatioun iwwer geografesch Restriktiounen beschreift.

Reputatioun ass déi zweet Achs an se iwwerlieft den Tunnel. Déi verwalt AWS WAF-Regelgrupp fir anonym IPen ass gebaut, fir Ufroe vu VPNen, Proxien, Tor-Kniet an Hosting-Ubidder ze blockéieren, also kann eng Ufro, déi d'Landpréifung passéiert, nach ëmmer ofgeleent ginn, well vun deem wat d'Adress ass, net vu wou se ass. Wann d'Blockade ugefaangen huet, wéi Dir den Tunnel op en Cloud-Host verluecht hutt, ass dëst wahrscheinlech déi Schicht.

Schrëtt 3: préift d'Verhalen vum Quota

Gemeinsam Ausgäng versoen op eng drëtt Manéier. Vitesslimiten pro IP a Sessiounszuelen behandelen eng Adress als ee Client, an en Ausgang fir Endnotzer dréit vill Abonnenten op eemol, also gesäit en Ufro-Muster, deen aus enger Heemverbindung onopfälleg ass, vum Ausgang aus wéi Automatiséierung. D'Symptom ass Drosselung oder eng temporär Blockade, déi sech selwer opléist, net eng geografesch Fehlernoriicht.

Eng Verdeelung kann och bewosst Sessiounen pro Adress zielen, zum Beispill mat enger Lambda@Edge-Funktioun, déi an DynamoDB schreift. Dat identifizéiert net d'Persoun hannert dem Ausgang, awer et léisst eng Adress sech wéi ee Client behuelen, wat dacks d'tatsächlech Absicht ass. Loggt déi verschidden Adressen hannert enger Plainte, ier Dir en Drempel upasst, well en Entreprise-NAT virun zweehonnert Schäfter vun dobausse genee wéi en beschäftegten Ausgang ausgesäit. Erwaart falsch Positiver vun Entreprise-NAT, engem Universitéitsnetz oder engem groussen Haushalt, déi alleguer eng eenzeg Adress presentéieren.

Kuckt Iech d'sampled Ufroen vun der WAF an d'Metrike vu vitessbaséierte Reegelen un, ier Dir d'Geografie beschëllegt. Eng Regel, déi op d'Ufrovolumen vum Ausgang ausléist, hannerléisst eng kloer Ënnerschrëft, an se seet Iech och, ob d'Korrektur eng Limitupassung oder en anere Ausgangswee ass.

Wat änneren, a mat wéi enger Rei

Entscheet Iech als Éischt, fir wat d'Kontroll ass. En regionale Katalog halen, Mëssbrauch limitéieren an e Kontrakt duerchsetzen sinn dräi verschidde Ziler, an nëmmen dat éischt gëtt duerch eng Landlëscht ugeschwat. Wann d'Zil Mëssbrauchskontroll ass, ass den Ausgang déi falsch Eenheet vun Identitéit, a keng Quantitéit un Allowlisten wäert eng gemeinsam Adress vertrauenswierdeg maachen.

Wann wierklech eng stabil Adress fir eng Allowlist gebraucht gëtt, hëlleft en dedizéierten oder stateschen Ausgang, well d'Adress registréiert ka ginn an net rotéiert. En mécht d'Adress awer net wunngerecht, an en ännert net d'Land, dat eng GeoIP-Datebank hir zouweist. Ausgäng rotéieren, bis een funktionéiert, ass eng temporär Reputatiounsännerung, net eng Korrektur vun der Politik.

Schreift duerno d'Resultat an de Begrëffer, déi den Ufroer benotzt huet: dës Adress ass no Land, no Reputatioun oder no Vitess blockéiert, an dëst ass d'Kontroll, déi sech ännert. Alles wat méi vag ass, invitéiert dee selwechten Ticket d'nächst Woch mat engem aneren Ausgang.