CloudFront ģeoblokēšana aiz VPN: izejas diagnostika

Ģeogrāfiskais ierobežojums ir lēmums par IP adresi, un VPN maina, kuru adresi pakalpojums redz. Šis viens teikums izskaidro lielāko daļu mulsinošo ziņojumu, kas nonāk atbalsta rindā: «vietne darbojas mājās un neizdodas tunelī» un «vietne darbojas tunelī, bet neviens cits birojā to nevar ielādēt» ir viens un tas pats mehānisms ar pretējiem rezultātiem. Šī rokasgrāmata veic diagnostiku tādā secībā, kas izslēdz cēloņus, sākot ar to, ko edge jums patiešām pateica. Viena un tā pati izejas adrese var izturēt vienu kontroli un neizdoties nākamajā, jo katra kontrole novērtē citu šīs adreses īpašību.

Izlasiet 403 pirms kaut ko maināt

Ģeobloks un WAF bloks abi nāk kā 403, un tie tiek laboti dažādās vietās. Ierakstiet atbildes galvenes un pirmo ķermeņa rindu, jo CloudFront pievieno kešatmiņas galveni un iemesla virkni, kas pasaka, kurš slānis atbildēja:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Kad pati izplatīšana bloķēja pieprasījumu ģeogrāfijas dēļ, ķermenī ir ziņojums, kas nosauc valsts ierobežojumu. Kad to bloķēja WAF noteikums, ķermenis parasti ir vispārīga aizliegta lapa, un izplatīšanas pieprasījuma ID galvenēs ir tas, ko nesat uz WAF žurnāliem. Kļūda šeit aizsūta jūs uz atļauto valstu sarakstu ātruma noteikuma problēmas dēļ, un tā ir darba diena, kas nevar izdoties.

1. solis: apstipriniet, kuru adresi izplatīšana redz

Pajautājiet tīklam, ko redz ārējā pasaule, no tās pašas mašīnas un pa to pašu maršrutu, ko izmanto neveiksmīgā pārlūkprogramma. curl -s https://checkip.amazonaws.com atgriež zvanītāja publisko adresi, kas VPN klientam ir izeja, nevis abonenta mājas savienojums:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Ja šī adrese pieder jūsu pakalpojumu sniedzēja izejai citā valstī, ģeogrāfiskais lēmums jau ir pieņemts, un nekas klientā to nemainīs. Ierakstiet adresi biļetē pirms pieskaraties iestatījumam, jo tas ir vienīgais fakts ziņojumā, par ko jūs un pakalpojums vienojaties.

2. solis: atdaliet valsti no reputācijas

CloudFront nosaka skatītāja atrašanās vietu no trešās puses GeoIP datubāzes, kas balstīta uz pieprasījuma avota adresi, un kartēšana ir aptuvena un reģionāla, nevis precīza noteikšana. Ja atrašanās vietu nevar noteikt, dokumentētais noklusējums ir saturu tomēr pasniegt. Tātad ir trīs iespējami stāvokļi: izeja kartējas uz bloķētu valsti, uz atļautu valsti, vai datubāzei nav viedokļa un pieprasījums turpinās.

Lietotājs bloķētā valstī var izskatīties kā atļautā, ja pakalpojumu sniedzējam tur ir izeja, un lietotājs atļautā valstī var tikt bloķēts, jo izeja ir reģistrēta citur. Neviens rezultāts nepierāda, ka ierobežojums ir salauzts. Abi ir ierobežojums, kas darbojas ar tai doto adresi, kā apraksta CloudFront ģeogrāfisko ierobežojumu dokumentācija.

Reputācija ir otrā ass, un tā pārdzīvo tuneli. AWS WAF pārvaldītā anonīmo IP noteikumu grupa ir veidota, lai bloķētu pieprasījumus no VPN, starpniekserveriem, Tor mezgliem un mitināšanas pakalpojumu sniedzējiem, tāpēc pieprasījums, kas iztur valsts pārbaudi, joprojām var tikt noraidīts tā dēļ, kas ir adrese, nevis kur tā atrodas. Ja bloķēšana sākās, kad pārvietojāt tuneli uz mākoņa resursdatoru, tas droši vien ir šis slānis.

3. solis: pārbaudiet kvotas uzvedību

Kopīgas izejas neizdodas trešajā veidā. Ātruma ierobežojumi uz IP un sesiju uzskaite vienu adresi uzskata par vienu klientu, un patērētāju izeja vienlaikus nes daudz abonentu, tāpēc pieprasījumu modelis, kas no mājas savienojuma ir neuzkrītošs, no izejas izskatās kā automatizācija. Simptoms ir ierobežošana vai pagaidu bloķēšana, kas pati pazūd, nevis ģeogrāfiska kļūdas ziņa.

Izplatīšana var arī apzināti skaitīt sesijas uz adresi, piemēram, ar Lambda@Edge funkciju, kas raksta uz DynamoDB. Tas neidentificē personu aiz izejas, bet liek vienai adresei uzvesties kā vienam klientam, kas bieži ir patiesais nodoms. Reģistrējiet dažādās adreses aiz sūdzības pirms jebkura sliekšņa pielāgošanas, jo uzņēmuma NAT divsimt galdu priekšā no ārpuses izskatās tieši kā aizņemta izeja. Gaidiet nepatiesus pozitīvos no uzņēmuma NAT, universitātes tīkla vai lielas mājsaimniecības, kas visas uzrāda vienu adresi.

Apskatiet WAF atlasītos pieprasījumus un ātruma noteikumu rādītājus pirms vainojat ģeogrāfiju. Noteikums, kas iedarbojas uz izejas pieprasījumu apjomu, atstāj skaidru parakstu, un tas arī pasaka, vai labojums ir limita pielāgošana vai cits izejas ceļš.

Ko mainīt un kādā secībā

Vispirms izlemiet, kam kontrole ir domāta. Reģionāla kataloga uzturēšana, ļaunprātīgas izmantošanas ierobežošana un līguma izpilde ir trīs dažādi mērķi, un tikai pirmo risina valstu saraksts. Ja mērķis ir ļaunprātīgas izmantošanas kontrole, izeja ir nepareizā identitātes vienība, un neviens atļauto sarakstu daudzums nepadarīs kopīgu adresi uzticamu.

Ja atļautajam sarakstam patiešām ir vajadzīga stabila adrese, īpaša vai statiska izeja palīdz, jo adresi var reģistrēt un tā negriežas. Tas nepadara adresi dzīvojamo un nemaina valsti, ko tai piešķir GeoIP datubāze. Izeju rotēšana, līdz viena darbojas, ir pagaidu reputācijas izmaiņa, nevis politikas labojums.

Pēc tam ierakstiet rezultātu ar terminiem, ko izmantoja pieprasītājs: šī adrese ir bloķēta pēc valsts, reputācijas vai ātruma, un šī ir kontrole, kas mainīsies. Viss neskaidrākais uzaicina to pašu biļeti nākamnedēļ ar citu izeju.