CloudFront геоблокирање зад VPN: дијагностика на излезот

Географското ограничување е одлука за IP-адреса, а VPN-от менува која адреса ја гледа услугата. Оваа една реченица објаснува повеќето збунувачки пријави што пристигнуваат во редот за поддршка: „страницата работи дома, а не работи низ тунелот“ и „страницата работи низ тунелот, но никој друг во канцеларијата не може да ја вчита“ се истиот механизам со спротивни резултати. Овој прирачник ја води дијагностиката по редоследот што ги исклучува причините, почнувајќи од она што работот всушност ви го кажал. Истата излезна адреса може да помине една контрола и да падне на следната, бидејќи секоја контрола оценува различно својство на таа адреса.

Прочитајте го 403 пред да промените нешто

Геоблокот и WAF-блокот доаѓаат и двата како 403 и се поправаат на различни места. Зачувајте ги заглавијата на одговорот и првиот ред од телото, бидејќи CloudFront вклучува заглавие за кешот и низа за причината што кажуваат кој слој одговорил:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Кога самата дистрибуција го блокирала барањето поради географија, телото носи порака што го именува ограничувањето на државата. Кога го блокирало правило на WAF, телото обично е општа забранета страница, а ID-то на барањето на дистрибуцијата во заглавијата е она што го носите во WAF-дневниците. Грешката овде ве праќа на списокот со дозволени држави за проблем со правило засновано на стапка, што е работен ден што не може да успее.

Чекор 1: потврдете која адреса ја гледа дистрибуцијата

Прашајте ја мрежата што гледа надворешниот свет, од истиот компјутер и истата рута што ја користи прелистувачот што не успева. curl -s https://checkip.amazonaws.com ја враќа јавната адреса на повикувачот, која за VPN-клиент е излезот, а не домашната врска на претплатникот:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Ако таа адреса му припаѓа на излезот на вашиот обезбедувач во друга држава, географската одлука е веќе донесена и ништо на клиентот нема да ја промени. Запишете ја адресата во тикетот пред да допрете поставка, бидејќи тоа е единствениот факт во извештајот за кој вие и услугата се согласувате.

Чекор 2: одвојте ја државата од репутацијата

CloudFront ја одредува локацијата на гледачот од GeoIP-база на трета страна врзана за изворната адреса на барањето, а мапирањето е приближно и регионално, не точно одредување. Кога локацијата не може да се одреди, документираното стандардно однесување е сепак да се послужи содржината. Затоа има три можни состојби: излезот се мапира на блокирана држава, на дозволена држава, или базата нема мислење и барањето продолжува.

Корисник во блокирана држава може да изгледа како да е во дозволена ако обезбедувачот има излез таму, а корисник во дозволена држава може да биде блокиран бидејќи излезот е регистриран на друго место. Ниту еден резултат не докажува дека ограничувањето е расипано. И двата се ограничувањето што работи на адресата што му е дадена, како што опишува документацијата на CloudFront за географски ограничувања.

Репутацијата е втората оска и таа го преживува тунелот. Управуваната група правила на AWS WAF за анонимни IP-адреси е изградена да блокира барања од VPN-ови, прокси-сервери, Tor-јазли и хостинг-обезбедувачи, па барање што ја поминало проверката на државата сепак може да биде одбиено поради тоа што е адресата, а не каде е. Ако блокирањето почнало кога сте го преместиле тунелот на облачен домаќин, ова е веројатно тој слој.

Чекор 3: проверете го однесувањето на квотата

Заедничките излези не успеваат на трет начин. Ограничувањата на стапка по IP и броењето сесии ја третираат едната адреса како еден клиент, а потрошувачкиот излез носи многу претплатници одеднаш, па моделот на барања што е незабележлив од домашна врска изгледа како автоматизација од излезот. Симптомот е ограничување или привремен блок што сам се повлекува, а не географска порака за грешка.

Дистрибуцијата може и намерно да брои сесии по адреса, на пример со функција Lambda@Edge што пишува во DynamoDB. Тоа не го идентификува лицето зад излезот, но прави една адреса да се однесува како еден клиент, што често е вистинската намера. Запишете ги различните адреси зад пријавата пред да прилагодите кој било праг, бидејќи корпоративен NAT пред двесте бироа однадвор изгледа токму како зафатен излез. Очекувајте лажни позитивни резултати од корпоративен NAT, универзитетска мрежа или големо домаќинство што сите претставуваат една адреса.

Погледнете ги примерочните барања на WAF и метриките на правилата засновани на стапка пред да ја обвините географијата. Правило што се активира на обемот на барања на излезот остава јасен потпис и ви кажува и дали поправката е прилагодување на граница или друг излезен пат.

Што да промените и по кој редослед

Прво одлучете за што служи контролата. Одржувањето регионален каталог, ограничувањето злоупотреба и спроведувањето договор се три различни цели и само првата се решава со список на држави. Ако целта е контрола на злоупотреба, излезот е погрешна единица на идентитет, и никакво количество дозволени списоци нема да ја направи заедничката адреса доверлива.

Ако за дозволен список навистина е потребна стабилна адреса, посветен или статичен излез помага бидејќи адресата може да се регистрира и не се ротира. Тоа не ја прави адресата станбена и не ја менува државата што GeoIP-базата ѝ ја доделува. Ротирањето излези додека еден не проработи е привремена промена на репутацијата, не поправка на политиката.

Потоа запишете го резултатот со термините што ги користел барателот: оваа адреса е блокирана по држава, по репутација или по стапка, и ова е контролата што ќе се промени. Сè понејасно го поканува истиот тикет следната недела со друг излез.