Geografsko blokiranje CloudFront za VPN: diagnostika izhoda

Geografska omejitev je odločitev o naslovu IP, VPN pa spremeni, kateri naslov vidi storitev. Ta en stavek pojasni večino zmedenih prijav, ki pridejo v čakalno vrsto za podporo: «stran deluje doma in odpove v tunelu» ter «stran deluje v tunelu, a nihče drug v pisarni je ne more naložiti» sta isti mehanizem z nasprotnimi izidi. Ta priročnik vodi diagnozo v vrstnem redu, ki izključuje vzroke, začenši s tem, kar vam je edge dejansko povedal. Isti izhodni naslov lahko prestane en nadzor in odpove na naslednjem, ker vsak nadzor ocenjuje drugo lastnost tega naslova.

Preberite 403, preden karkoli spremenite

Geografska blokada in blokada WAF prideta obe kot 403 in se popravljata na različnih mestih. Zajemite glave odgovora in prvo vrstico telesa, ker CloudFront doda glavo predpomnilnika in niz razloga, ki povesta, katera plast je odgovorila:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Ko je sama distribucija blokirala zahtevo zaradi geografije, telo nosi sporočilo, ki imenuje omejitev države. Ko jo je blokiralo pravilo WAF, je telo običajno splošna prepovedana stran, ID zahteve distribucije v glavah pa je tisto, kar nosite v dnevnike WAF. Napaka tukaj vas pošlje na seznam dovoljenih držav zaradi težave s pravilom, ki temelji na hitrosti, to pa je dan dela, ki ne more uspeti.

Korak 1: potrdite, kateri naslov vidi distribucija

Vprašajte omrežje, kaj vidi zunanji svet, z istega stroja in po isti poti, ki jo uporablja brskalnik, ki odpove. curl -s https://checkip.amazonaws.com vrne javni naslov klicatelja, ki je za odjemalca VPN izhod in ne domača povezava naročnika:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Če ta naslov pripada izhodu vašega ponudnika v drugi državi, je geografska odločitev že sprejeta in nič na odjemalcu je ne bo spremenilo. Zapišite naslov v zahtevek, preden se dotaknete nastavitve, ker je to edino dejstvo v poročilu, s katerim se vi in storitev strinjate.

Korak 2: ločite državo od ugleda

CloudFront določi lokacijo gledalca iz baze GeoIP tretje strani, vezane na izvorni naslov zahteve, in preslikava je približna in regionalna, ne natančna določitev. Ko lokacije ni mogoče določiti, je dokumentirana privzeta vrednost vseeno postrežba vsebine. Zato obstajajo tri možna stanja: izhod se preslika v blokirano državo, v dovoljeno državo, ali baza nima mnenja in zahteva gre naprej.

Uporabnik v blokirani državi je lahko videti v dovoljeni, če ima ponudnik tam izhod, uporabnik v dovoljeni državi pa je lahko blokiran, ker je izhod registriran drugje. Noben izid ne dokazuje, da je omejitev pokvarjena. Oba sta omejitev, ki deluje na naslovu, ki ga je dobila, kot opisuje dokumentacija CloudFront o geografskih omejitvah.

Ugled je druga os in preživi tunel. Upravljana skupina pravil AWS WAF za anonimne naslove IP je zgrajena za blokiranje zahtev iz VPN, proxyjev, vozlišč Tor in gostiteljskih ponudnikov, zato je zahteva, ki prestane preverjanje države, še vedno lahko zavrnjena zaradi tega, kaj naslov je, ne kje je. Če se je blokiranje začelo, ko ste tunel preselili na oblačni gostitelj, je to verjetno ta plast.

Korak 3: preverite vedenje kvote

Skupni izhodi odpovejo na tretji način. Omejitve hitrosti na IP in štetje sej obravnavajo en naslov kot enega odjemalca, potrošniški izhod pa nosi veliko naročnikov hkrati, zato je vzorec zahtev, ki je z domače povezave neopazen, z izhoda videti kot avtomatizacija. Simptom je omejevanje ali začasna blokada, ki sama izgine, ne geografsko sporočilo o napaki.

Distribucija lahko tudi namerno šteje seje na naslov, na primer s funkcijo Lambda@Edge, ki piše v DynamoDB. To ne identificira osebe za izhodom, vendar naredi, da se en naslov obnaša kot en odjemalec, kar je pogosto resnični namen. Zabeležite različne naslove za pritožbo, preden prilagodite kateri koli prag, ker je poslovni NAT pred dvesto pisalnimi mizami od zunaj videti natanko kot zaseden izhod. Pričakujte lažno pozitivne rezultate poslovnega NAT, univerzitetnega omrežja ali velikega gospodinjstva, ki vsi predstavljajo en naslov.

Poglejte vzorčene zahteve WAF in meritve pravil, ki temeljijo na hitrosti, preden obtožite geografijo. Pravilo, ki se sproži ob obsegu zahtev izhoda, pusti jasen podpis in vam tudi pove, ali je popravek prilagoditev omejitve ali druga izhodna pot.

Kaj spremeniti in v kakšnem vrstnem redu

Najprej se odločite, čemu je nadzor namenjen. Vzdrževanje regionalnega kataloga, omejevanje zlorab in uveljavljanje pogodbe so trije različni cilji, in samo prvega rešuje seznam držav. Če je cilj nadzor zlorab, je izhod napačna enota identitete, in nobena količina dovoljenih seznamov ne bo skupnega naslova naredila zanesljivega.

Če za dovoljeni seznam res potrebujete stabilen naslov, pomaga namenski ali statični izhod, ker je naslov mogoče registrirati in se ne vrti. Naslova ne naredi stanovanjskega in ne spremeni države, ki mu jo dodeli baza GeoIP. Vrtenje izhodov, dokler eden ne deluje, je začasna sprememba ugleda, ne popravek politike.

Nato zapišite izid v izrazih, ki jih je uporabil vlagatelj: ta naslov je blokiran po državi, po ugledu ali po hitrosti, in to je nadzor, ki se bo spremenil. Karkoli bolj nejasnega vabi isto zahtevo naslednji teden z drugim izhodom.