VPN ਪਿੱਛੇ CloudFront ਜੀਓ ਬਲਾਕਿੰਗ: ਐਗਜ਼ਿਟ ਦਾ ਨਿਦਾਨ

ਭੂਗੋਲਿਕ ਪਾਬੰਦੀ IP ਪਤੇ ਬਾਰੇ ਫੈਸਲਾ ਹੈ, ਅਤੇ VPN ਇਹ ਬਦਲਦਾ ਹੈ ਕਿ ਸੇਵਾ ਕਿਹੜਾ ਪਤਾ ਦੇਖਦੀ ਹੈ। ਇਹ ਇੱਕ ਵਾਕ ਹੀ ਸਹਾਇਤਾ ਕਤਾਰ ਵਿੱਚ ਆਉਣ ਵਾਲੀਆਂ ਜ਼ਿਆਦਾਤਰ ਉਲਝਣ ਭਰੀਆਂ ਰਿਪੋਰਟਾਂ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ: «ਸਾਈਟ ਘਰ ਵਿੱਚ ਕੰਮ ਕਰਦੀ ਹੈ ਅਤੇ ਟਨਲ 'ਤੇ ਫੇਲ ਹੁੰਦੀ ਹੈ» ਅਤੇ «ਸਾਈਟ ਟਨਲ 'ਤੇ ਕੰਮ ਕਰਦੀ ਹੈ ਪਰ ਦਫ਼ਤਰ ਵਿੱਚ ਕੋਈ ਹੋਰ ਇਸਨੂੰ ਲੋਡ ਨਹੀਂ ਕਰ ਸਕਦਾ» ਇੱਕੋ ਵਿਧੀ ਦੇ ਉਲਟ ਨਤੀਜੇ ਹਨ। ਇਹ ਗਾਈਡ ਨਿਦਾਨ ਨੂੰ ਉਸ ਕ੍ਰਮ ਵਿੱਚ ਕਰਦੀ ਹੈ ਜੋ ਕਾਰਨਾਂ ਨੂੰ ਬਾਹਰ ਕਰਦਾ ਹੈ, ਐਜ ਨੇ ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਕੀ ਦੱਸਿਆ ਉਸ ਤੋਂ ਸ਼ੁਰੂ ਕਰਕੇ। ਉਹੀ ਐਗਜ਼ਿਟ ਪਤਾ ਇੱਕ ਨਿਯੰਤਰਣ ਪਾਸ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਅਗਲੇ ਵਿੱਚ ਫੇਲ ਹੋ ਸਕਦਾ ਹੈ, ਕਿਉਂਕਿ ਹਰ ਨਿਯੰਤਰਣ ਉਸ ਪਤੇ ਦੀ ਵੱਖਰੀ ਵਿਸ਼ੇਸ਼ਤਾ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ।

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ 403 ਪੜ੍ਹੋ

ਜੀਓ ਬਲਾਕ ਅਤੇ WAF ਬਲਾਕ ਦੋਵੇਂ 403 ਵਜੋਂ ਆਉਂਦੇ ਹਨ, ਅਤੇ ਉਹ ਵੱਖਰੀਆਂ ਥਾਵਾਂ 'ਤੇ ਠੀਕ ਹੁੰਦੇ ਹਨ। ਜਵਾਬ ਹੈਡਰ ਅਤੇ ਬਾਡੀ ਦੀ ਪਹਿਲੀ ਲਾਈਨ ਕੈਪਚਰ ਕਰੋ, ਕਿਉਂਕਿ CloudFront ਕੈਸ਼ ਹੈਡਰ ਅਤੇ ਕਾਰਨ ਸਟ੍ਰਿੰਗ ਜੋੜਦਾ ਹੈ, ਜੋ ਦੱਸਦੇ ਹਨ ਕਿ ਕਿਹੜੀ ਪਰਤ ਨੇ ਜਵਾਬ ਦਿੱਤਾ:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

ਜਦੋਂ ਵੰਡ ਨੇ ਆਪ ਭੂਗੋਲ ਕਾਰਨ ਬੇਨਤੀ ਨੂੰ ਬਲਾਕ ਕੀਤਾ, ਬਾਡੀ ਵਿੱਚ ਦੇਸ਼ ਪਾਬੰਦੀ ਦਾ ਨਾਮ ਲੈਣ ਵਾਲਾ ਸੰਦੇਸ਼ ਹੁੰਦਾ ਹੈ। ਜਦੋਂ WAF ਨਿਯਮ ਨੇ ਇਸਨੂੰ ਬਲਾਕ ਕੀਤਾ, ਬਾਡੀ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਆਮ ਮਨਾਹੀ ਵਾਲਾ ਪੰਨਾ ਹੁੰਦੀ ਹੈ ਅਤੇ ਹੈਡਰਾਂ ਵਿੱਚ ਵੰਡ ਬੇਨਤੀ ID ਹੀ ਉਹ ਚੀਜ਼ ਹੈ ਜੋ ਤੁਸੀਂ WAF ਲੌਗ ਵਿੱਚ ਲੈ ਜਾਂਦੇ ਹੋ। ਇੱਥੇ ਗਲਤੀ ਤੁਹਾਨੂੰ ਦਰ-ਅਧਾਰਿਤ ਨਿਯਮ ਦੀ ਸਮੱਸਿਆ ਲਈ ਦੇਸ਼ਾਂ ਦੀ ਆਗਿਆ ਸੂਚੀ ਵੱਲ ਭੇਜਦੀ ਹੈ, ਜੋ ਇੱਕ ਦਿਨ ਦਾ ਕੰਮ ਹੈ ਜੋ ਸਫਲ ਨਹੀਂ ਹੋ ਸਕਦਾ।

ਕਦਮ 1: ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਵੰਡ ਕਿਹੜਾ ਪਤਾ ਦੇਖਦੀ ਹੈ

ਨੈੱਟਵਰਕ ਨੂੰ ਪੁੱਛੋ ਕਿ ਬਾਹਰੀ ਦੁਨੀਆ ਕੀ ਦੇਖਦੀ ਹੈ, ਉਸੇ ਮਸ਼ੀਨ ਅਤੇ ਉਸੇ ਰਸਤੇ ਤੋਂ ਜੋ ਫੇਲ ਹੋਣ ਵਾਲਾ ਬ੍ਰਾਊਜ਼ਰ ਵਰਤਦਾ ਹੈ। curl -s https://checkip.amazonaws.com ਕਾਲ ਕਰਨ ਵਾਲੇ ਦਾ ਜਨਤਕ ਪਤਾ ਵਾਪਸ ਕਰਦਾ ਹੈ, ਜੋ VPN ਕਲਾਇੰਟ ਲਈ ਗਾਹਕ ਦਾ ਘਰੇਲੂ ਕਨੈਕਸ਼ਨ ਨਹੀਂ, ਐਗਜ਼ਿਟ ਹੈ:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

ਜੇ ਉਹ ਪਤਾ ਕਿਸੇ ਹੋਰ ਦੇਸ਼ ਵਿੱਚ ਤੁਹਾਡੇ ਪ੍ਰਦਾਤਾ ਦੇ ਐਗਜ਼ਿਟ ਦਾ ਹੈ, ਤਾਂ ਭੂਗੋਲਿਕ ਫੈਸਲਾ ਪਹਿਲਾਂ ਹੀ ਲਿਆ ਜਾ ਚੁੱਕਾ ਹੈ ਅਤੇ ਕਲਾਇੰਟ 'ਤੇ ਕੁਝ ਵੀ ਇਸਨੂੰ ਨਹੀਂ ਬਦਲੇਗਾ। ਕਿਸੇ ਸੈਟਿੰਗ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਪਤਾ ਟਿਕਟ ਵਿੱਚ ਲਿਖੋ, ਕਿਉਂਕਿ ਇਹ ਰਿਪੋਰਟ ਵਿੱਚ ਇੱਕੋ ਇੱਕ ਤੱਥ ਹੈ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਅਤੇ ਸੇਵਾ ਸਹਿਮਤ ਹੋ।

ਕਦਮ 2: ਦੇਸ਼ ਨੂੰ ਪ੍ਰਤਿਸ਼ਠਾ ਤੋਂ ਵੱਖ ਕਰੋ

CloudFront ਦਰਸ਼ਕ ਦੀ ਸਥਿਤੀ ਬੇਨਤੀ ਦੇ ਸਰੋਤ ਪਤੇ 'ਤੇ ਅਧਾਰਿਤ ਤੀਜੀ ਧਿਰ ਦੇ GeoIP ਡੇਟਾਬੇਸ ਤੋਂ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਮੈਪਿੰਗ ਸਹੀ ਨਿਰਧਾਰਨ ਨਹੀਂ ਬਲਕਿ ਅਨੁਮਾਨਿਤ ਅਤੇ ਖੇਤਰੀ ਹੈ। ਜਦੋਂ ਸਥਿਤੀ ਨਿਰਧਾਰਤ ਨਹੀਂ ਹੋ ਸਕਦੀ, ਦਸਤਾਵੇਜ਼ੀ ਡਿਫਾਲਟ ਸਮੱਗਰੀ ਪਰੋਸਣਾ ਹੈ। ਇਸ ਲਈ ਤਿੰਨ ਸੰਭਾਵਿਤ ਸਥਿਤੀਆਂ ਹਨ: ਐਗਜ਼ਿਟ ਬਲਾਕ ਕੀਤੇ ਦੇਸ਼ ਵਿੱਚ ਮੈਪ ਹੁੰਦਾ ਹੈ, ਆਗਿਆ ਵਾਲੇ ਦੇਸ਼ ਵਿੱਚ, ਜਾਂ ਡੇਟਾਬੇਸ ਦੀ ਕੋਈ ਰਾਏ ਨਹੀਂ ਅਤੇ ਬੇਨਤੀ ਅੱਗੇ ਵਧਦੀ ਹੈ।

ਬਲਾਕ ਕੀਤੇ ਦੇਸ਼ ਦਾ ਵਰਤੋਂਕਾਰ ਆਗਿਆ ਵਾਲੇ ਦੇਸ਼ ਵਿੱਚ ਹੋਣ ਵਾਂਗ ਦਿਖ ਸਕਦਾ ਹੈ ਜੇ ਪ੍ਰਦਾਤਾ ਦਾ ਉੱਥੇ ਐਗਜ਼ਿਟ ਹੈ, ਅਤੇ ਆਗਿਆ ਵਾਲੇ ਦੇਸ਼ ਦਾ ਵਰਤੋਂਕਾਰ ਬਲਾਕ ਹੋ ਸਕਦਾ ਹੈ ਕਿਉਂਕਿ ਐਗਜ਼ਿਟ ਕਿਤੇ ਹੋਰ ਰਜਿਸਟਰ ਹੈ। ਕੋਈ ਵੀ ਨਤੀਜਾ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਪਾਬੰਦੀ ਟੁੱਟੀ ਹੈ। ਦੋਵੇਂ ਪਾਬੰਦੀ ਦਾ ਉਸ ਪਤੇ 'ਤੇ ਕੰਮ ਕਰਨਾ ਹਨ ਜੋ ਇਸਨੂੰ ਦਿੱਤਾ ਗਿਆ, ਜਿਵੇਂ CloudFront ਜੀਓ ਪਾਬੰਦੀ ਦਸਤਾਵੇਜ਼ ਦੱਸਦਾ ਹੈ।

ਪ੍ਰਤਿਸ਼ਠਾ ਦੂਜੀ ਧੁਰੀ ਹੈ ਅਤੇ ਇਹ ਟਨਲ ਵਿੱਚੋਂ ਬਚਦੀ ਹੈ। AWS WAF ਦਾ ਅਗਿਆਤ IP ਲਈ ਪ੍ਰਬੰਧਿਤ ਨਿਯਮ ਸਮੂਹ VPN, ਪ੍ਰੌਕਸੀ, Tor ਨੋਡ ਅਤੇ ਹੋਸਟਿੰਗ ਪ੍ਰਦਾਤਾਵਾਂ ਤੋਂ ਆਉਣ ਵਾਲੀਆਂ ਬੇਨਤੀਆਂ ਬਲਾਕ ਕਰਨ ਲਈ ਬਣਾਇਆ ਗਿਆ ਹੈ, ਇਸ ਲਈ ਦੇਸ਼ ਜਾਂਚ ਪਾਸ ਕਰਨ ਵਾਲੀ ਬੇਨਤੀ ਵੀ ਇਸ ਕਾਰਨ ਰੱਦ ਹੋ ਸਕਦੀ ਹੈ ਕਿ ਪਤਾ ਕੀ ਹੈ, ਕਿੱਥੇ ਹੈ ਨਹੀਂ। ਜੇ ਟਨਲ ਨੂੰ ਕਲਾਉਡ ਹੋਸਟ 'ਤੇ ਭੇਜਣ ਵੇਲੇ ਬਲਾਕ ਸ਼ੁਰੂ ਹੋਇਆ, ਤਾਂ ਇਹ ਉਹੀ ਪਰਤ ਹੋ ਸਕਦੀ ਹੈ।

ਕਦਮ 3: ਕੋਟਾ ਵਿਵਹਾਰ ਜਾਂਚੋ

ਸ਼ੇਅਰਡ ਐਗਜ਼ਿਟ ਤੀਜੇ ਤਰੀਕੇ ਨਾਲ ਫੇਲ ਹੁੰਦੇ ਹਨ। ਪ੍ਰਤੀ-IP ਦਰ ਸੀਮਾਵਾਂ ਅਤੇ ਸੈਸ਼ਨ ਗਿਣਤੀ ਇੱਕ ਪਤੇ ਨੂੰ ਇੱਕ ਕਲਾਇੰਟ ਮੰਨਦੀਆਂ ਹਨ, ਅਤੇ ਖਪਤਕਾਰ ਐਗਜ਼ਿਟ ਇੱਕ ਸਮੇਂ ਕਈ ਗਾਹਕ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ, ਇਸ ਲਈ ਘਰੇਲੂ ਕਨੈਕਸ਼ਨ ਤੋਂ ਆਮ ਦਿਖਣ ਵਾਲਾ ਬੇਨਤੀ ਪੈਟਰਨ ਐਗਜ਼ਿਟ ਤੋਂ ਆਟੋਮੇਸ਼ਨ ਵਾਂਗ ਦਿਖਦਾ ਹੈ। ਲੱਛਣ ਆਪਣੇ ਆਪ ਹਟਣ ਵਾਲੀ ਥ੍ਰੋਟਲਿੰਗ ਜਾਂ ਅਸਥਾਈ ਬਲਾਕ ਹੈ, ਭੂਗੋਲਿਕ ਗਲਤੀ ਸੰਦੇਸ਼ ਨਹੀਂ।

ਵੰਡ ਜਾਣਬੁੱਝ ਕੇ ਪ੍ਰਤੀ ਪਤਾ ਸੈਸ਼ਨ ਵੀ ਗਿਣ ਸਕਦੀ ਹੈ, ਉਦਾਹਰਨ ਲਈ DynamoDB ਵਿੱਚ ਲਿਖਣ ਵਾਲੇ Lambda@Edge ਫੰਕਸ਼ਨ ਨਾਲ। ਇਹ ਐਗਜ਼ਿਟ ਪਿੱਛੇ ਵਿਅਕਤੀ ਦੀ ਪਛਾਣ ਨਹੀਂ ਕਰਦਾ, ਪਰ ਇੱਕ ਪਤੇ ਨੂੰ ਇੱਕ ਕਲਾਇੰਟ ਵਾਂਗ ਵਿਵਹਾਰ ਕਰਵਾਉਂਦਾ ਹੈ, ਜੋ ਅਕਸਰ ਅਸਲ ਮਨਸ਼ਾ ਹੁੰਦੀ ਹੈ। ਕੋਈ ਵੀ ਸੀਮਾ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਸ਼ਿਕਾਇਤ ਪਿੱਛੇ ਵੱਖਰੇ ਪਤੇ ਲੌਗ ਕਰੋ, ਕਿਉਂਕਿ ਦੋ ਸੌ ਡੈਸਕਾਂ ਅੱਗੇ ਕਾਰਪੋਰੇਟ NAT ਬਾਹਰੋਂ ਬਿਲਕੁਲ ਰੁੱਝੇ ਐਗਜ਼ਿਟ ਵਾਂਗ ਦਿਖਦਾ ਹੈ। ਕਾਰਪੋਰੇਟ NAT, ਯੂਨੀਵਰਸਿਟੀ ਨੈੱਟਵਰਕ ਜਾਂ ਇੱਕ ਹੀ ਪਤਾ ਪੇਸ਼ ਕਰਨ ਵਾਲੇ ਵੱਡੇ ਪਰਿਵਾਰ ਤੋਂ ਝੂਠੇ ਪਾਜ਼ਿਟਿਵ ਦੀ ਉਮੀਦ ਰੱਖੋ।

ਭੂਗੋਲ ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ WAF ਦੀਆਂ ਨਮੂਨਾ ਬੇਨਤੀਆਂ ਅਤੇ ਦਰ-ਅਧਾਰਿਤ ਨਿਯਮ ਮੈਟ੍ਰਿਕਸ ਦੇਖੋ। ਐਗਜ਼ਿਟ ਦੀ ਬੇਨਤੀ ਮਾਤਰਾ 'ਤੇ ਸਰਗਰਮ ਹੋਣ ਵਾਲਾ ਨਿਯਮ ਸਪਸ਼ਟ ਦਸਤਖਤ ਛੱਡਦਾ ਹੈ, ਅਤੇ ਇਹ ਵੀ ਦੱਸਦਾ ਹੈ ਕਿ ਹੱਲ ਸੀਮਾ ਸਮਾਯੋਜਨ ਹੈ ਜਾਂ ਵੱਖਰਾ ਐਗਜ਼ਿਟ ਰਸਤਾ।

ਕੀ ਬਦਲਣਾ ਹੈ, ਅਤੇ ਕਿਹੜੇ ਕ੍ਰਮ ਵਿੱਚ

ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਨਿਯੰਤਰਣ ਕਿਸ ਲਈ ਹੈ। ਖੇਤਰੀ ਕੈਟਾਲਾਗ ਰੱਖਣਾ, ਦੁਰਵਿਵਹਾਰ ਸੀਮਿਤ ਕਰਨਾ ਅਤੇ ਇਕਰਾਰਨਾਮਾ ਲਾਗੂ ਕਰਨਾ ਤਿੰਨ ਵੱਖਰੇ ਟੀਚੇ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਪਹਿਲੇ ਨੂੰ ਦੇਸ਼ ਸੂਚੀ ਨਾਲ ਸੰਬੋਧਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਜੇ ਟੀਚਾ ਦੁਰਵਿਵਹਾਰ ਨਿਯੰਤਰਣ ਹੈ, ਐਗਜ਼ਿਟ ਪਛਾਣ ਦੀ ਗਲਤ ਇਕਾਈ ਹੈ, ਅਤੇ ਕਿੰਨੀਆਂ ਵੀ ਆਗਿਆ ਸੂਚੀਆਂ ਹੋਣ, ਸ਼ੇਅਰਡ ਪਤੇ ਨੂੰ ਭਰੋਸੇਯੋਗ ਨਹੀਂ ਬਣਾਉਣਗੀਆਂ।

ਜੇ ਆਗਿਆ ਸੂਚੀ ਲਈ ਸੱਚਮੁੱਚ ਸਥਿਰ ਪਤਾ ਲੋੜੀਂਦਾ ਹੈ, ਸਮਰਪਿਤ ਜਾਂ ਸਥਿਰ ਐਗਜ਼ਿਟ ਮਦਦ ਕਰਦਾ ਹੈ ਕਿਉਂਕਿ ਪਤਾ ਰਜਿਸਟਰ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਘੁੰਮਦਾ ਨਹੀਂ। ਇਹ ਪਤੇ ਨੂੰ ਰਿਹਾਇਸ਼ੀ ਨਹੀਂ ਬਣਾਉਂਦਾ, ਅਤੇ GeoIP ਡੇਟਾਬੇਸ ਵੱਲੋਂ ਦਿੱਤਾ ਦੇਸ਼ ਵੀ ਨਹੀਂ ਬਦਲਦਾ। ਇੱਕ ਚੱਲਣ ਤੱਕ ਐਗਜ਼ਿਟ ਘੁਮਾਉਣਾ ਅਸਥਾਈ ਪ੍ਰਤਿਸ਼ਠਾ ਤਬਦੀਲੀ ਹੈ, ਨੀਤੀ ਦਾ ਹੱਲ ਨਹੀਂ।

ਫਿਰ ਨਤੀਜਾ ਬੇਨਤੀਕਰਤਾ ਵੱਲੋਂ ਵਰਤੇ ਸ਼ਬਦਾਂ ਵਿੱਚ ਲਿਖੋ: ਇਹ ਪਤਾ ਦੇਸ਼, ਪ੍ਰਤਿਸ਼ਠਾ ਜਾਂ ਦਰ ਕਾਰਨ ਬਲਾਕ ਹੈ, ਅਤੇ ਬਦਲਣ ਵਾਲਾ ਨਿਯੰਤਰਣ ਇਹ ਹੈ। ਇਸ ਤੋਂ ਵੱਧ ਅਸਪਸ਼ਟ ਕੁਝ ਵੀ ਅਗਲੇ ਹਫ਼ਤੇ ਉਹੀ ਟਿਕਟ ਵੱਖਰੇ ਐਗਜ਼ਿਟ ਨਾਲ ਸੱਦਦਾ ਹੈ।