CloudFront-geoblokkering bak ein VPN: diagnostiser utgangen

Ei geografisk avgrensing er eit vedtak om ei IP-adresse, og ein VPN endrar kva adresse tenesta ser. Den eine setninga forklarer dei fleste forvirrande rapportane som når ein støttekø: «sida fungerer heime og feilar på tunnelen» og «sida fungerer på tunnelen, men ingen andre på kontoret kan lasta henne» er same mekanismen med motsette resultat. Denne runboka går gjennom diagnosen i den rekkjefølgja som utelukkar årsaker, og byrjar med det edge-en faktisk fortalde deg. Same utgangsadressa kan stå ein kontroll og feila den neste, fordi kvar kontroll vurderer ein annan eigenskap ved den adressa.

Les 403-en før du endrar noko

Ei geoblokkering og ei WAF-blokkering kjem begge som 403, og dei vert retta på ulike stader. Ta vare på svarhovuda og den første lina i kroppen, fordi CloudFront legg til eit cache-hovud og ein årsaksstreng som fortel kva lag som svara:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Når distribusjonen sjølv blokkerte førespurnaden på grunn av geografi, ber kroppen ei melding som nemner landavgrensinga. Når ei WAF-regel blokkerte han, er kroppen vanlegvis ei generisk forboden-side, og førespurnads-ID-en til distribusjonen i hovuda er det du tek med til WAF-loggene. Å ta feil her sender deg til landa si allowlist for eit problem med ein hastigheitsbasert regel, som er ein dags arbeid som ikkje kan lukkast.

Steg 1: stadfest kva adresse distribusjonen ser

Spør nettverket kva omverda ser, frå same maskin og same rute som den feilande nettlesaren brukar. curl -s https://checkip.amazonaws.com returnerer den offentlege adressa til den som kallar, som for ein VPN-klient er utgangen framfor heimeforbindinga til abonnenten:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Om den adressa høyrer til utgangen til tilbydaren din i eit anna land, er det geografiske vedtaket allereie teke, og ingenting på klienten vil endra det. Skriv adressa i saka før du rører ei innstilling, fordi det er det einaste faktumet i rapporten som du og tenesta er samde om.

Steg 2: skil land frå omdøme

CloudFront fastset plasseringa til sjåaren frå ein tredjeparts GeoIP-database som er nøkla på kjeldeadressa til førespurnaden, og kartlegginga er omtrentleg og regional snarare enn ei presis fastsetjing. Når plasseringa ikkje kan fastsetjast, er den dokumenterte standarden å likevel levera innhaldet. Derfor finst det tre moglege tilstandar: utgangen kartlegg til eit blokkert land, til eit tillate land, eller databasen har inga meining og førespurnaden held fram.

Ein brukar i eit blokkert land kan sjå ut som han er i eit tillate land om tilbydaren har ein utgang der, og ein brukar i eit tillate land kan verta blokkert fordi utgangen er registrert ein annan stad. Ingen av utfalla provar at avgrensinga er øydelagd. Begge er avgrensinga som verkar på adressa ho fekk, slik CloudFront-dokumentasjonen om geografiske avgrensingar skildrar.

Omdøme er den andre aksen, og det overlever tunnelen. Den styrte AWS WAF-regelgruppa for anonyme IP-ar er bygd for å blokkera førespurnader frå VPN-ar, proxyar, Tor-nodar og hostingtilbydarar, så ein førespurnad som står landskontrollen kan framleis verta avvist på grunn av kva adressa er, ikkje kvar ho er. Om blokkeringa byrja då du flytta tunnelen til ein skyvert, er dette truleg det laget.

Steg 3: undersøk kvoteåtferda

Delte utgangar feilar på ein tredje måte. Hastighetsgrenser per IP og sesjonstellingar handsamar éi adresse som éin klient, og ein forbrukarutgang ber mange abonnentar samstundes, så eit førespurnadsmønster som er upåfallande frå ei heimeforbinding ser ut som automatisering frå utgangen. Symptomet er avgrensing eller ei mellombels blokkering som forsvinn av seg sjølv, ikkje ei geografisk feilmelding.

Ein distribusjon kan òg med vilje telja sesjonar per adresse, til dømes med ein Lambda@Edge-funksjon som skriv til DynamoDB. Det identifiserer ikkje personen bak utgangen, men det får éi adresse til å oppføra seg som éin klient, noko som ofte er den faktiske hensikta. Logg dei ulike adressene bak ei klage før du justerer ein terskel, fordi ein bedrifts-NAT framfor to hundre skrivebord utanfrå ser nøyaktig ut som ein travel utgang. Vent falske positive frå bedrifts-NAT, eit universitetsnettverk eller ein stor husstand som alle presenterer éi adresse.

Sjå på dei sampla førespurnadene til WAF og måltala for hastigheitsbaserte reglar før du klandrar geografien. Ei regel som løyser ut på førespurnadsvolumet til utgangen etterlèt ein tydeleg signatur, og ho fortel deg òg om rettinga er ei grensejustering eller ein annan utgangsveg.

Kva du skal endra, og i kva rekkjefølgje

Avgjer først kva kontrollen er til. Å halda ved like ein regional katalog, avgrensa misbruk og handheva ein kontrakt er tre ulike mål, og berre det første vert handsama av ei landliste. Om målet er misbrukskontroll, er utgangen feil identitetseining, og inga mengd allowlister vil gjera ei delt adresse påliteleg.

Om ei stabil adresse verkeleg trengst for ei allowlist, hjelper ein dedikert eller statisk utgang fordi adressa kan registrerast og ikkje roterer. Det gjer ikkje adressa bustad, og det endrar ikkje landet ein GeoIP-database tildeler henne. Å rotera utgangar til éin verkar er ei mellombels omdømeendring, ikkje ei retting av policyen.

Skriv deretter resultatet med omgrepa saksbehandlaren brukte: denne adressa er blokkert etter land, etter omdøme eller etter hastighet, og dette er kontrollen som vil endra seg. Noko meir upresist inviterer same saka igjen neste veke med ein annan utgang.