VPN-ийн ард байгаа CloudFront гео блоклолт: гарах гарцыг оношлох

Газарзүйн хязгаарлалт нь IP хаягийн тухай шийдвэр бөгөөд VPN нь үйлчилгээ ямар хаягийг хардагийг өөрчилдөг. Энэ нэг өгүүлбэр нь дэмжлэгийн дараалалд ирдэг ойлгомжгүй мэдээллийн ихэнхийг тайлбарладаг: «сайт гэрт ажилладаг боловч туннел дээр бүтэлгүйтдэг», «сайт туннел дээр ажилладаг боловч оффис дахь өөр хэн ч үүнийг ачаалж чадахгүй» гэдэг нь нэг механизмын эсрэг үр дүн юм. Энэхүү гарын авлага нь шалтгааныг үгүйсгэх дарааллаар оношийг гүйцэтгэдэг бөгөөд ирмэг танд үнэхээр юу хэлснээс эхэлдэг. Нэг гарцын хаяг нэг хяналтыг давж, дараагийн үед бүтэлгүйтэж болно, учир нь хяналт бүр тухайн хаягийн өөр шинж чанарыг үнэлдэг.

Ямар нэг зүйлийг өөрчлөхөөс өмнө 403-ыг уншаарай

Гео блок болон WAF блок хоёулаа 403 хэлбэрээр ирдэг бөгөөд тэдгээрийг өөр өөр газар засдаг. Хариултын толгой болон биеийн эхний мөрийг бичээрэй, учир нь CloudFront кэшийн толгой болон шалтгааны мөрийг нэмдэг бөгөөд аль давхарга хариулсныг хэлдэг:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Тархалт өөрөө газарзүйн шалтгаанаар хүсэлтийг блоклосон бол биед улсын хязгаарлалтыг нэрлэсэн мессеж байна. Үүнийг WAF дүрэм блоклосон бол бие нь ихэвчлэн ерөнхий хориглосон хуудас бөгөөд толгой дахь тархалтын хүсэлтийн ID нь таны WAF бүртгэлд авч явах зүйл юм. Энд алдаа гаргавал таныг хурдны дүрмийн асуудлаар зөвшөөрөгдсөн улсын жагсаалт руу илгээх бөгөөд энэ нь амжилттай болох боломжгүй нэг өдрийн ажил юм.

1-р алхам: тархалт ямар хаягийг харж байгааг баталгаажуулна уу

Сүлжээнээс гадаад ертөнц юу харж байгааг асуугаарай, бүтэлгүйтэж буй хөтөч ашигладаг ижил машин, ижил замаас. curl -s https://checkip.amazonaws.com дуудагчийн нийтийн хаягийг буцаана, VPN клиентийн хувьд энэ нь захиалагчийн гэрийн холболт биш, гарц:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Хэрэв энэ хаяг өөр улс дахь таны үйлчилгээ үзүүлэгчийн гарцад хамаарах бол гео шийдвэр аль хэдийн гарсан бөгөөд клиент дээр юу ч үүнийг өөрчлөхгүй. Тохиргоо руу хүрэхээс өмнө хаягийг тасалбарт бичээрэй, учир нь энэ нь тайланд та болон үйлчилгээ хоёрын санал нийлэх цорын ганц баримт юм.

2-р алхам: улсыг нэр хүндээс тусгаарлана уу

CloudFront үзэгчийн байршлыг хүсэлтийн эх хаягт тулгуурласан гуравдагч талын GeoIP мэдээллийн сангаас тодорхойлдог бөгөөд зураглал нь нарийн тодорхойлолт биш, ойролцоо, бүс нутгийн шинжтэй. Байршлыг тодорхойлж чадахгүй бол баримтжуулсан өгөгдмөл нь агуулгыг нийлүүлэх юм. Тиймээс гурван боломжит төлөв байна: гарц блоклогдсон улс руу, зөвшөөрөгдсөн улс руу зурагдана, эсвэл мэдээллийн санд санал байхгүй бөгөөд хүсэлт үргэлжилнэ.

Блоклогдсон улсын хэрэглэгч үйлчилгээ үзүүлэгчид тэнд гарц байвал зөвшөөрөгдсөн улсад байгаа мэт харагдаж болно, зөвшөөрөгдсөн улсын хэрэглэгч гарц өөр газар бүртгэгдсэн тул блоклогдож болно. Аль ч үр дүн хязгаарлалт эвдэрсэн гэдгийг нотлохгүй. Хоёулаа хязгаарлалт нь түүнд өгөгдсөн хаяг дээр ажиллаж байгаа хэрэг бөгөөд CloudFront-ийн газарзүйн хязгаарлалтын баримт бичиг тайлбарладаг.

Нэр хүнд бол хоёр дахь тэнхлэг бөгөөд туннелийг даван туулдаг. AWS WAF-ийн нэргүй IP-д зориулсан удирдлагатай дүрмийн бүлэг нь VPN, прокси, Tor зангилаа, хостингийн үйлчилгээ үзүүлэгчдээс ирэх хүсэлтийг блоклохоор бүтээгдсэн тул улсын шалгалтыг давсан хүсэлт ч хаяг хаана байгаагаас биш, юу болохоос хамаарч татгалзагдаж болно. Хэрэв туннелийг үүлэн хост руу зөөх үед блоклолт эхэлсэн бол энэ нь тэр давхарга байх магадлалтай.

3-р алхам: квотын зан төлөвийг шалгана уу

Хуваалцсан гарцууд гурав дахь аргаар бүтэлгүйтдэг. IP тус бүрийн хурдны хязгаар болон сессийн тоолол нь нэг хаягийг нэг клиент гэж үздэг бөгөөд хэрэглэгчийн гарц олон захиалагчийг нэгэн зэрэг зөөдөг тул гэрийн холболтоос энгийн харагдах хүсэлтийн хэв маяг гарцын хувьд автоматжуулалт мэт харагдана. Шинж тэмдэг нь өөрөө арилдаг хязгаарлалт эсвэл түр зуурын блок бөгөөд газарзүйн алдааны мессеж биш.

Тархалт нь хаяг тус бүрийн сессийг зориуд тоолж болно, жишээлбэл DynamoDB руу бичдэг Lambda@Edge функцээр. Энэ нь гарцын ард байгаа хүнийг танихгүй боловч нэг хаягийг нэг клиент шиг ажиллуулдаг бөгөөд энэ нь ихэвчлэн жинхэнэ зорилго юм. Ямар нэг босгыг тохируулахаас өмнө гомдлын ард байгаа өөр өөр хаягуудыг бичээрэй, учир нь хоёр зуун ширээний өмнөх корпорацийн NAT гаднаас яг завгүй гарц мэт харагдана. Корпорацийн NAT, их сургуулийн сүлжээ эсвэл нэг хаяг танилцуулдаг том гэр бүлээс хуурамч эерэг үр дүн хүлээгээрэй.

Газарзүйг буруутгахаас өмнө WAF-ийн түүвэр хүсэлт болон хурдны дүрмийн хэмжүүрийг харна уу. Гарцын хүсэлтийн хэмжээнд ажилладаг дүрэм тодорхой гарын үсэг үлдээдэг бөгөөд засвар нь хязгаар тохируулах уу эсвэл өөр гарцын зам уу гэдгийг ч хэлдэг.

Юуг ямар дарааллаар өөрчлөх вэ

Эхлээд хяналт юунд зориулагдсаныг шийдээрэй. Бүс нутгийн каталог хадгалах, урвалыг хязгаарлах, гэрээг хэрэгжүүлэх нь гурван өөр зорилго бөгөөд зөвхөн эхнийхийг улсын жагсаалтаар шийддэг. Хэрэв зорилго нь урвалын хяналт бол гарц нь таних нэгжийн хувьд буруу бөгөөд хэчнээн зөвшөөрөгдсөн жагсаалт байсан ч хуваалцсан хаягийг найдвартай болгохгүй.

Хэрэв зөвшөөрөгдсөн жагсаалтад үнэхээр тогтвортой хаяг хэрэгтэй бол зориулалтын эсвэл статик гарц тусална, учир нь хаягийг бүртгэж болох бөгөөд эргэлддэггүй. Энэ нь хаягийг орон сууцны болгодоггүй бөгөөд GeoIP мэдээллийн сан түүнд олгосон улсыг ч өөрчлөхгүй. Нэг нь ажиллах хүртэл гарцуудыг эргүүлэх нь нэр хүндийн түр зуурын өөрчлөлт бөгөөд бодлогын засвар биш.

Дараа нь үр дүнг хүсэлт гаргагчийн хэрэглэсэн нэр томьёогоор бичээрэй: энэ хаяг улс, нэр хүнд эсвэл хурдаар блоклогдсон бөгөөд өөрчлөгдөх хяналт нь энэ юм. Үүнээс илүү бүрхэг зүйл ирэх долоо хоногт мөнөөх тасалбарыг өөр гарцтайгаар урина.