VPN पछाडि CloudFront जियो ब्लकिङ: एक्जिटको निदान

भौगोलिक प्रतिबन्ध IP ठेगानाबारेको निर्णय हो, र VPN ले सेवाले कुन ठेगाना देख्छ भन्ने बदल्छ। यही एउटा वाक्यले सहयोग कतारमा आउने अधिकांश अन्योलपूर्ण रिपोर्टहरू व्याख्या गर्छ: «साइट घरमा चल्छ र टनेलमा असफल हुन्छ» र «साइट टनेलमा चल्छ तर अफिसमा अरू कसैले पनि लोड गर्न सक्दैन» एउटै क्रियाविधिका विपरीत परिणाम हुन्। यो पुस्तिकाले कारणहरू हटाउने क्रममा निदान गर्छ, एजले वास्तवमा तपाईंलाई के भन्यो त्यसबाट सुरु गरेर। एउटै एक्जिट ठेगानाले एउटा नियन्त्रण पार गरेर अर्कोमा असफल हुन सक्छ, किनकि प्रत्येक नियन्त्रणले त्यो ठेगानाको फरक गुण मूल्याङ्कन गर्छ।

केही परिवर्तन गर्नुअघि 403 पढ्नुहोस्

जियो ब्लक र WAF ब्लक दुवै 403 को रूपमा आउँछन्, र तिनीहरू फरक ठाउँमा सुधारिन्छन्। प्रतिक्रिया हेडर र बडीको पहिलो लाइन क्याप्चर गर्नुहोस्, किनकि CloudFront ले क्यास हेडर र कारण स्ट्रिङ थप्छ, जसले कुन तहले जवाफ दियो भन्ने बताउँछ:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

जब वितरणले आफैं भौगोलिक कारणले अनुरोध अवरुद्ध गर्यो, बडीमा देश प्रतिबन्धको नाम बताउने सन्देश हुन्छ। जब WAF नियमले अवरुद्ध गर्यो, बडी सामान्यतया सामान्य निषेधित पृष्ठ हुन्छ र हेडरमा रहेको वितरण अनुरोध ID नै तपाईंले WAF लगमा लैजाने कुरा हो। यहाँ गल्ती गर्दा दर-आधारित नियमको समस्याका लागि तपाईंलाई देशहरूको अनुमति सूचीतर्फ पठाइन्छ, जुन सफल हुन नसक्ने एक दिनको काम हो।

चरण 1: वितरणले कुन ठेगाना देख्छ भनी पुष्टि गर्नुहोस्

असफल ब्राउजरले प्रयोग गर्ने उही मेसिन र उही मार्गबाट बाहिरी संसारले के देख्छ भनी नेटवर्कलाई सोध्नुहोस्। curl -s https://checkip.amazonaws.com ले कल गर्नेको सार्वजनिक ठेगाना फर्काउँछ, जुन VPN क्लाइन्टका लागि ग्राहकको घर जडान नभई एक्जिट हो:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

यदि त्यो ठेगाना अर्को देशमा रहेको तपाईंको प्रदायकको एक्जिटको हो भने, भौगोलिक निर्णय पहिले नै भइसकेको छ र क्लाइन्टमा केहीले पनि त्यो बदल्ने छैन। कुनै सेटिङ छुनुअघि ठेगाना टिकटमा लेख्नुहोस्, किनकि त्यो रिपोर्टको एक मात्र तथ्य हो जसमा तपाईं र सेवा सहमत छौ।

चरण 2: देशलाई प्रतिष्ठाबाट अलग गर्नुहोस्

CloudFront ले दर्शकको स्थान अनुरोधको स्रोत ठेगानामा आधारित तेस्रो पक्षको GeoIP डाटाबेसबाट निर्धारण गर्छ, र म्यापिङ सटीक निर्धारण नभई अनुमानित र क्षेत्रीय हुन्छ। जब स्थान निर्धारण गर्न सकिँदैन, कागजातमा उल्लेखित पूर्वनिर्धारित सामग्री उपलब्ध गराउनु हो। त्यसैले तीन सम्भावित अवस्था छन्: एक्जिट अवरुद्ध देशमा म्याप हुन्छ, अनुमत देशमा, वा डाटाबेसको कुनै राय छैन र अनुरोध अगाडि बढ्छ।

अवरुद्ध देशको प्रयोगकर्ता अनुमत देशमा रहेको जस्तो देखिन सक्छ यदि प्रदायकको त्यहाँ एक्जिट छ भने, र अनुमत देशको प्रयोगकर्ता एक्जिट अन्तै दर्ता भएकाले अवरुद्ध हुन सक्छ। कुनै पनि नतिजाले प्रतिबन्ध बिग्रिएको प्रमाणित गर्दैन। दुवै प्रतिबन्धले आफूलाई दिइएको ठेगानामा काम गरिरहेको हो, जसरी CloudFront जियो प्रतिबन्ध कागजात वर्णन गर्छ।

प्रतिष्ठा दोस्रो अक्ष हो र यो टनेलबाट बाँच्छ। AWS WAF को अनाम IP का लागि व्यवस्थापित नियम समूह VPN, प्रोक्सी, Tor नोड र होस्टिङ प्रदायकबाट आउने अनुरोध अवरुद्ध गर्न बनाइएको हो, त्यसैले देश जाँच पास गरेको अनुरोध पनि ठेगाना कहाँ छ भन्ने होइन, के हो भन्ने कारणले अस्वीकार हुन सक्छ। यदि टनेल क्लाउड होस्टमा सार्दा अवरोध सुरु भयो भने, यो त्यही तह हुन सक्छ।

चरण 3: कोटा व्यवहार जाँच्नुहोस्

साझा एक्जिट तेस्रो तरिकाले असफल हुन्छन्। प्रति-IP दर सीमा र सत्र गणनाले एउटा ठेगानालाई एक ग्राहक मान्छ, र उपभोक्ता एक्जिटले एकैपटक धेरै ग्राहक बोक्छ, त्यसैले घर जडानबाट सामान्य देखिने अनुरोध ढाँचा एक्जिटबाट स्वचालन जस्तो देखिन्छ। लक्षण भनेको आफैं हट्ने थ्रोटलिङ वा अस्थायी अवरोध हो, भौगोलिक त्रुटि सन्देश होइन।

वितरणले जानाजान प्रति ठेगाना सत्र गन्न पनि सक्छ, उदाहरणका लागि DynamoDB मा लेख्ने Lambda@Edge फंक्शनद्वारा। त्यसले एक्जिट पछाडिको व्यक्ति पहिचान गर्दैन, तर एउटा ठेगानालाई एक ग्राहकजस्तै व्यवहार गराउँछ, जो प्रायः वास्तविक मनसाय हुन्छ। कुनै पनि सीमा समायोजन गर्नुअघि उजुरी पछाडिका फरक ठेगानाहरू लग गर्नुहोस्, किनकि दुई सय डेस्कअगाडिको कर्पोरेट NAT बाहिरबाट ठ्याक्कै व्यस्त एक्जिटजस्तै देखिन्छ। कर्पोरेट NAT, विश्वविद्यालय नेटवर्क वा एउटै ठेगाना प्रस्तुत गर्ने ठूलो परिवारबाट झुटा सकारात्मक अपेक्षा गर्नुहोस्।

भूगोललाई दोष दिनुअघि WAF का नमुना अनुरोध र दर-आधारित नियम मेट्रिक्स हेर्नुहोस्। एक्जिटको अनुरोध मात्रामा सक्रिय हुने नियमले स्पष्ट हस्ताक्षर छोड्छ, र समाधान सीमा समायोजन हो वा फरक एक्जिट मार्ग भन्ने पनि बताउँछ।

के बदल्ने, र कुन क्रममा

पहिले नियन्त्रण कसका लागि हो निर्णय गर्नुहोस्। क्षेत्रीय क्याटलग राख्नु, दुरुपयोग सीमित गर्नु र सम्झौता लागू गर्नु तीन फरक लक्ष्य हुन्, र पहिलोलाई मात्र देश सूचीले सम्बोधन गर्छ। यदि लक्ष्य दुरुपयोग नियन्त्रण हो भने, एक्जिट पहिचानको गलत एकाइ हो, र जतिसुकै अनुमति सूची भए पनि साझा ठेगाना विश्वसनीय बनाउँदैन।

यदि अनुमति सूचीका लागि साँच्चै स्थिर ठेगाना चाहिन्छ भने, समर्पित वा स्थिर एक्जिटले मद्दत गर्छ किनकि ठेगाना दर्ता गर्न सकिन्छ र घुम्दैन। यसले ठेगानालाई आवासीय बनाउँदैन, र GeoIP डाटाबेसले दिने देश पनि बदल्दैन। एउटा चलेसम्म एक्जिट घुमाउनु अस्थायी प्रतिष्ठा परिवर्तन हो, नीतिको समाधान होइन।

त्यसपछि नतिजा अनुरोधकर्ताले प्रयोग गरेका शब्दमा लेख्नुहोस्: यो ठेगाना देश, प्रतिष्ठा वा दरका कारण अवरुद्ध छ, र बदलिने नियन्त्रण यही हो। योभन्दा अस्पष्ट कुराले अर्को हप्ता उही टिकट फरक एक्जिटसहित निम्त्याउँछ।