VPN मागे CloudFront जिओ ब्लॉकिंग: एक्झिटचे निदान

भौगोलिक निर्बंध हा IP पत्त्याबद्दलचा निर्णय आहे, आणि VPN सेवा कोणता पत्ता पाहते ते बदलते. हे एकच वाक्य सपोर्ट रांगेत येणाऱ्या बहुतेक गोंधळलेल्या अहवालांचे स्पष्टीकरण देते: «साइट घरी चालते आणि टनेलवर अयशस्वी होते» आणि «साइट टनेलवर चालते पण ऑफिसमधील इतर कोणीही ती लोड करू शकत नाही» हे एकाच यंत्रणेचे विरुद्ध परिणाम आहेत. हे पुस्तिका कारणे वगळणाऱ्या क्रमाने निदान करते, एजने तुम्हाला प्रत्यक्षात काय सांगितले यापासून सुरुवात करून. तोच एक्झिट पत्ता एक नियंत्रण पार करू शकतो आणि पुढच्या ठिकाणी अयशस्वी होऊ शकतो, कारण प्रत्येक नियंत्रण त्या पत्त्याची वेगळी गुणधर्म मूल्यांकन करते.

काहीही बदलण्यापूर्वी 403 वाचा

जिओ ब्लॉक आणि WAF ब्लॉक दोन्ही 403 म्हणून येतात, आणि ते वेगवेगळ्या ठिकाणी दुरुस्त होतात. प्रतिसाद हेडर आणि बॉडीची पहिली ओळ कॅप्चर करा, कारण CloudFront कॅशे हेडर आणि कारण स्ट्रिंग जोडते, जे कोणता स्तर उत्तर दिला ते सांगतात:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

वितरणानेच भौगोलिक कारणामुळे विनंती अवरोधित केल्यास, बॉडीमध्ये देश निर्बंधाचे नाव देणारा संदेश असतो. WAF नियमाने ती अवरोधित केल्यास, बॉडी सामान्यतः सामान्य प्रतिबंधित पृष्ठ असते आणि हेडरमधील वितरण विनंती ID ही तुम्ही WAF लॉगमध्ये नेता. येथे चूक केल्यास दर-आधारित नियमाच्या समस्येसाठी तुम्हाला देशांच्या परवानगी यादीकडे पाठवले जाते, जो यशस्वी होऊ शकत नाही असा दिवसभराचा काम आहे.

पायरी 1: वितरण कोणता पत्ता पाहते ते सत्यापित करा

अयशस्वी होणारा ब्राउझर वापरतो त्याच मशीनवरून आणि त्याच मार्गाने बाहेरील जग काय पाहते ते नेटवर्कला विचारा. curl -s https://checkip.amazonaws.com कॉलरचा सार्वजनिक पत्ता परत करतो, जो VPN क्लायंटसाठी ग्राहकाचे घरगुती कनेक्शन नाही तर एक्झिट आहे:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

जर तो पत्ता दुसऱ्या देशातील तुमच्या प्रदात्याच्या एक्झिटचा असेल, तर भौगोलिक निर्णय आधीच घेतला गेला आहे आणि क्लायंटवर काहीही तो बदलणार नाही. सेटिंगला हात लावण्यापूर्वी पत्ता तिकिटात लिहा, कारण तो अहवालातील एकमेव तथ्य आहे ज्यावर तुम्ही आणि सेवा सहमत आहात.

पायरी 2: देशाला प्रतिष्ठेपासून वेगळे करा

CloudFront दर्शकाचे स्थान विनंतीच्या स्त्रोत पत्त्यावर आधारित तृतीय-पक्ष GeoIP डेटाबेसमधून ठरवते, आणि मॅपिंग अचूक निर्धारण नसून अंदाजे आणि प्रादेशिक आहे. स्थान निश्चित करता येत नसल्यास, दस्तऐवजीकृत डीफॉल्ट सामग्री देणे आहे. त्यामुळे तीन संभाव्य स्थिती आहेत: एक्झिट प्रतिबंधित देशात मॅप होते, परवानगी असलेल्या देशात, किंवा डेटाबेसला मत नाही आणि विनंती पुढे जाते.

प्रतिबंधित देशातील वापरकर्ता परवानगी असलेल्या देशात असल्यासारखा दिसू शकतो जर प्रदात्याकडे तेथे एक्झिट असेल, आणि परवानगी असलेल्या देशातील वापरकर्ता एक्झिट इतरत्र नोंदणीकृत असल्यामुळे प्रतिबंधित होऊ शकतो. कोणताही परिणाम निर्बंध तुटलेला आहे हे सिद्ध करत नाही. दोन्ही निर्बंध तिला दिलेल्या पत्त्यावर काम करत आहे, जसे CloudFront जिओ निर्बंध दस्तऐवज वर्णन करते.

प्रतिष्ठा हा दुसरा अक्ष आहे आणि ती टनेलमधून टिकून राहते. AWS WAF चा अनामिक IP साठी व्यवस्थापित नियम गट VPN, प्रॉक्सी, Tor नोड आणि होस्टिंग प्रदात्यांकडून येणाऱ्या विनंत्या अवरोधित करण्यासाठी बनवला आहे, त्यामुळे देश तपासणी पास झालेली विनंतीही पत्ता कुठे आहे यामुळे नाही तर काय आहे यामुळे नाकारली जाऊ शकते. जर तुम्ही टनेल क्लाउड होस्टवर हलवल्यावर अवरोध सुरू झाला असेल, तर हा तो स्तर असण्याची शक्यता आहे.

पायरी 3: कोटा वर्तन तपासा

सामायिक एक्झिट तिसऱ्या प्रकारे अयशस्वी होतात. प्रति-IP दर मर्यादा आणि सत्र मोजणी एका पत्त्याला एक ग्राहक मानतात, आणि ग्राहक एक्झिट एकाच वेळी अनेक ग्राहकांना वाहून नेते, त्यामुळे घरगुती कनेक्शनवरून सामान्य वाटणारी विनंती पद्धत एक्झिटवरून ऑटोमेशनसारखी दिसते. लक्षण म्हणजे स्वतःहून निघून जाणारे थ्रॉटलिंग किंवा तात्पुरता अवरोध, भौगोलिक त्रुटी संदेश नाही.

वितरण जाणीवपूर्वक प्रति पत्ता सत्रे मोजू शकते, उदाहरणार्थ DynamoDB मध्ये लिहिणाऱ्या Lambda@Edge फंक्शनसह. ते एक्झिटमागील व्यक्ती ओळखत नाही, परंतु एका पत्त्याला एका ग्राहकासारखे वागवते, जे अनेकदा खरे हेतू असते. कोणतीही मर्यादा समायोजित करण्यापूर्वी तक्रारीमागील वेगळे पत्ते नोंदवा, कारण दोनशे डेस्कसमोरील कॉर्पोरेट NAT बाहेरून अगदी व्यस्त एक्झिटसारखे दिसते. कॉर्पोरेट NAT, विद्यापीठ नेटवर्क किंवा एकच पत्ता सादर करणाऱ्या मोठ्या घरातून खोटे सकारात्मक अपेक्षित ठेवा.

भूगोलाला दोष देण्यापूर्वी WAF च्या नमुना विनंत्या आणि दर-आधारित नियम मेट्रिक्स पहा. एक्झिटच्या विनंती खंडावर सक्रिय होणारा नियम स्पष्ट स्वाक्षरी सोडतो, आणि उपाय मर्यादा समायोजन आहे की वेगळा एक्झिट मार्ग हे देखील सांगतो.

काय बदलावे, आणि कोणत्या क्रमाने

प्रथम नियंत्रण कशासाठी आहे ते ठरवा. प्रादेशिक कॅटलॉग ठेवणे, गैरवापर मर्यादित करणे आणि करार अंमलात आणणे या तीन वेगळ्या उद्दिष्टी आहेत, आणि केवळ पहिल्याला देश यादीने हाताळले जाते. जर उद्दिष्ट गैरवापर नियंत्रण असेल, एक्झिट हे ओळखीचे चुकीचे एकक आहे, आणि कितीही परवानगी याद्या असल्या तरी सामायिक पत्ता विश्वासार्ह होणार नाही.

जर परवानगी यादीसाठी खरोखर स्थिर पत्ता आवश्यक असेल, तर समर्पित किंवा स्थिर एक्झिट मदत करते कारण पत्ता नोंदवता येतो आणि फिरत नाही. ते पत्त्याला निवासी बनवत नाही, आणि GeoIP डेटाबेस त्याला देत असलेला देशही बदलत नाही. एक चालेपर्यंत एक्झिट फिरवणे हे तात्पुरते प्रतिष्ठा बदल आहे, धोरणाचा उपाय नाही.

नंतर निकाल विनंतीकर्त्याने वापरलेल्या शब्दांत लिहा: हा पत्ता देश, प्रतिष्ठा किंवा दरामुळे अवरोधित आहे, आणि बदलणारे नियंत्रण हे आहे. यापेक्षा अस्पष्ट काहीही पुढच्या आठवड्यात तेच तिकीट वेगळ्या एक्झिटसह आमंत्रित करते.