Imblukkar ġeografiku ta' CloudFront wara VPN: iddijanjostika l-ħruġ

Restrizzjoni ġeografika hija deċiżjoni dwar indirizz IP, u VPN ibiddel liema indirizz jara s-servizz. Dik is-sentenza waħda tispjega ħafna mir-rapporti konfużi li jaslu f'kju ta' appoġġ: «is-sit jaħdem id-dar u jonqos fuq il-mina» u «is-sit jaħdem fuq il-mina imma ħadd ieħor fl-uffiċċju ma jista' jgħabbih» huma l-istess mekkaniżmu li jipproduċi riżultati opposti. Dan il-manwal imexxi d-dijanjosi fl-ordni li teskludi l-kawżi, billi jibda b'dak li l-ġenb fil-fatt qallek. L-istess indirizz tal-ħruġ jista' jgħaddi minn kontroll wieħed u jonqos f'ieħor, għax kull kontroll jevalwa proprjetà differenti ta' dak l-indirizz.

Aqra l-403 qabel ma tbiddel xejn

Blokk ġeografiku u blokk WAF jaslu t-tnejn bħala 403, u jissewwew f'postijiet differenti. Aqbad l-intestaturi tar-risposta u l-ewwel linja tal-korp, għax CloudFront iżid intestatura tal-cache u string tar-raġuni li jgħidulek liema saff wieġeb:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Meta d-distribuzzjoni nnifisha bblukkat it-talba minħabba l-ġeografija, il-korp iġorr messaġġ li jsemmi r-restrizzjoni tal-pajjiż. Meta regola WAF bblukkatha, il-korp normalment huwa paġna projbita ġenerika u l-ID tat-talba tad-distribuzzjoni fl-intestaturi huwa dak li tieħu fil-logs WAF. Żball hawn jibgħadek lejn il-lista tal-pajjiżi permessi għal problema ta' regola bbażata fuq ir-rata, li hija ġurnata xogħol li ma tistax tirnexxi.

Pass 1: ikkonferma liema indirizz tara d-distribuzzjoni

Staqsi lin-netwerk x'jara d-dinja ta' barra, mill-istess magna u mill-istess rotta li tuża l-browser li qed jonqos. curl -s https://checkip.amazonaws.com jirritorna l-indirizz pubbliku tas-sejjieħ, li għal klijent VPN huwa il-ħruġ minflok il-konnessjoni tad-dar tal-abbinat:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Jekk dak l-indirizz jappartjeni għall-ħruġ tal-fornitur tiegħek f'pajjiż ieħor, id-deċiżjoni ġeografika diġà ttieħdet u xejn fuq il-klijent mhux se jbiddilha. Ikteb l-indirizz fit-ticket qabel ma tmiss setting, għax huwa l-uniku fatt fir-rapport li int u s-servizz taqblu fuqu.

Pass 2: aqsam il-pajjiż mir-reputazzjoni

CloudFront jiddetermina l-post tal-watcher minn database GeoIP ta' parti terza bbażata fuq l-indirizz tas-sors tat-talba, u l-immappjar huwa approssimattiv u reġjonali, mhux determinazzjoni preċiża. Meta l-post ma jistax jiġi determinat, id-default dokumentat huwa li xorta jservi l-kontenut. Għalhekk hemm tliet stati possibbli: il-ħruġ jiġi mmappjat għal pajjiż imblukkat, għal pajjiż permess, jew id-database m'għandhiex opinjoni u t-talba tkompli.

Utent f'pajjiż imblukkat jista' jidher li qiegħed f'wieħed permess jekk il-fornitur għandu ħruġ hemm, u utent f'pajjiż permess jista' jiġi mblukkat għax il-ħruġ huwa rreġistrat x'imkien ieħor. Ebda waħda mir-riżultati ma tipprova li r-restrizzjoni hija miksura. It-tnejn huma r-restrizzjoni li taħdem fuq l-indirizz li ngħatat, kif jiddeskrivi d-dokumentazzjoni tar-restrizzjonijiet ġeografiċi ta' CloudFront.

Ir-reputazzjoni hija t-tieni ass u tibqa' ħajja wara l-mina. Il-grupp ta' regoli mmaniġġjati ta' AWS WAF għal IPs anonimi huwa mibni biex jibblokka talbiet minn VPN, proxies, nodi Tor u fornituri ta' hosting, għalhekk talba li tgħaddi mill-verifika tal-pajjiż xorta tista' tiġi rrifjutata minħabba x'inhu l-indirizz, mhux fejn jinsab. Jekk il-blokk beda meta ċċaqlaqt il-mina għal host fil-cloud, dan huwa probabbilment dak is-saff.

Pass 3: iċċekkja l-imġiba tal-kwota

Ħruġ kondiviżi jonqsu fit-tielet mod. Il-limiti tar-rata għal kull IP u l-għadd ta' sessjonijiet jittrattaw indirizz wieħed bħala klijent wieħed, u ħruġ tal-konsumatur iġorr ħafna abbinati f'daqqa, għalhekk mudell ta' talbiet li huwa ordinarju minn konnessjoni tad-dar jidher bħala awtomatizzazzjoni mill-ħruġ. Is-sintomu huwa throttling jew blokk temporanju li jgħib waħdu, mhux messaġġ ta' żball ġeografiku.

Distribuzzjoni tista' wkoll tgħodd sessjonijiet għal kull indirizz apposta, pereżempju b'funzjoni Lambda@Edge li tikteb f'DynamoDB. Dan ma jidentifikax il-persuna wara l-ħruġ, imma jagħmel indirizz wieħed iġib ruħu bħala klijent wieħed, li ħafna drabi huwa l-iskop reali. Irreġistra l-indirizzi distinti wara ilment qabel ma taġġusta kwalunkwe limitu, għax NAT korporattiv quddiem mitejn skrivanija jidher minn barra eżattament bħal ħruġ impenjat. Stennew pożittivi foloz minn NAT korporattiv, netwerk ta' università jew dar kbira li kollha jippreżentaw indirizz wieħed.

Ħares lejn it-talbiet kampjunati tal-WAF u l-metriċi tar-regoli bbażati fuq ir-rata qabel ma tagħti l-ħtija lill-ġeografija. Regola li tattiva fuq il-volum tat-talbiet tal-ħruġ tħalli firma ċara, u tgħidlek ukoll jekk is-sewwa huwiex aġġustament tal-limitu jew triq tal-ħruġ differenti.

X'għandek tbiddel, u b'liema ordni

L-ewwel iddeċiedi għal xiex huwa l-kontroll. Li żżomm katalgu reġjonali, li tillimita l-abbuż u li tinforza kuntratt huma tliet għanijiet differenti, u l-ewwel wieħed biss jiġi indirizzat b'lista tal-pajjiżi. Jekk l-għan huwa l-kontroll tal-abbuż, il-ħruġ huwa l-unità tal-identità ħażina, u ebda ammont ta' listi permessi mhu se jagħmel indirizz kondiviż affidabbli.

Jekk indirizz stabbli huwa verament meħtieġ għal lista permessa, ħruġ iddedikat jew statiku jgħin għax l-indirizz jista' jiġi rreġistrat u ma jdawwarx. Ma jagħmilx l-indirizz residenzjali, u ma jbiddilx il-pajjiż li database GeoIP jassenja lilu. Id-dawran tal-ħruġ sakemm wieħed jaħdem hija bidla temporanja tar-reputazzjoni, mhux sewwa tal-politika.

Imbagħad ikteb ir-riżultat bit-termini li uża min għamel it-talba: dan l-indirizz huwa mblukkat skont il-pajjiż, ir-reputazzjoni jew ir-rata, u dan huwa l-kontroll li se jinbidel. Xi ħaġa iktar vaga tistieden l-istess ticket il-ġimgħa d-dieħla b'ħruġ differenti.