Xannibaadda juqraafiyeed ee CloudFront ka dambeeya VPN: baaritaanka bixista

Xaddidaad juqraafiyeed waa go'aan ku saabsan cinwaan IP, VPN-na wuxuu beddelaa cinwaanka adeeggu arko. Hal jumlad ah ayaa sharraxda inta badan warbixinnada qaldan ee yimaada safka taageerada: «goobtu guriga way shaqaysaa tunnelseedka way ku guuldareysataa» iyo «goobtu tunnelseedka way shaqaysaa laakiin qof kale oo xafiiska jooga ma soo dejisan karo» waa isla habka natiijooyin iska soo horjeeda. Buuggan hagaha wuxuu baaritaanka ku socdaa nidaamka ka reebaya sababaha, isagoo ka bilaabaya wixii cidhifku run ahaantii kuu sheegay. Isla cinwaanka bixista ayaa mari kara hal ikkaw oo ku guuldareystaa tan xigta, sababtoo ah ikkaw kastaa wuxuu qiimeeyaa sifo kale oo cinwaankaas ah.

Akhri 403 ka hor intaadan wax beddelin

Xannibaadda juqraafiyeed iyo xannibaadda WAF labaduba waxay yimaadaan 403 ahaan, waxaana lagu hagaajiyaa meelo kala duwan. Qabso madaxyada jawaabta iyo sadarka koowaad ee jirka, sababtoo ah CloudFront wuxuu ku darayaa madax cache iyo xarig sabab oo kuu sheegaya lakabka jawaabay:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Marka qaybintu lafteedu ay codsiga u xannibtay juqraafi ahaan, jirku wuxuu qaadaa fariin magacaabaysa xaddidaadda waddanka. Marka qaanuun WAF u xannibtay, jirku caadi ahaan waa bog guud oo mamnuuc ah, aqoonsiga codsiga qaybinta ee madaxyada waa waxa aad u qaaddo diiwaannada WAF. Khalad halkan wuxuu kuu diraa liiska waddamada la ogolaaday arrin qaanuun ku salaysan xawaare, taas oo ah maalin shaqo oo aan guulaysan karin.

Tallaabada 1: xaqiiji cinwaanka qaybintu aragto

Weydii shabakadda waxa dunida dibaddu aragto, isla mishiinka iyo isla waddada uu isticmaalo browserka guuldareysta. curl -s https://checkip.amazonaws.com wuxuu soo celiyaa cinwaanka guud ee waca, kaas oo macmiil VPN u yahay bixista ee ma aha xiriirka guriga macmiilka:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Haddii cinwaankaas uu ka tirsan yahay bixista bixiyahaaga ee waddan kale, go'aanka juqraafiyeed horey ayaa loo qaatay oo waxba macmiilka kuma beddeli karo. Ku qor cinwaanka tigidhka ka hor intaadan taaban dejinta, sababtoo ah waa xaqiiqda kaliya ee warbixinta ee adiga iyo adeeggu ku heshiiyaan.

Tallaabada 2: kala saar waddanka iyo sumcadda

CloudFront wuxuu go'aamiyaa goobta daawadaha isagoo ka keenaya keyd GeoIP dhinac saddexaad oo ku salaysan cinwaanka isha codsiga, isku-dhufashadu waa qiyaas iyo gobol, ma aha go'aan sax ah. Marka goobta aan la go'aamin karin, caadada la diiwaangeliyey waa in si kastaba waxa ku jira la bixiyo. Sidaas darteed waxaa jira saddex xaaladood oo suurtagal ah: bixistu waxay u muuqataa waddan la xannibay, waddan la ogolaaday, ama keydku ma leh ra'yi oo codsigu wuu sii socdaa.

Isticmaale ku nool waddan la xannibay wuxuu u ekaan karaa mid ku nool waddan la ogolaaday haddii bixiyuhu halkaas bixis leeyahay, isticmaale ku nool waddan la ogolaadayna waa la xannibi karaa sababtoo ah bixistu meel kale ayaa laga diiwaangeliyey. Mid ka mid ah natiijooyinka ma caddeeyo in xaddidaaddu jabtay. Labaduba waa xaddidaadda ka shaqaynaysa cinwaanka la siiyay, sida dukumeentiga xaddidaadda juqraafiyeed ee CloudFront ku sharraxayo.

Sumcaddu waa dhidibka labaad waana ka badbaaddaa tunnelseedka. Kooxda qawaaniinta la maamulo ee AWS WAF ee IP-yada aan la aqoonsan waxaa loo dhisay inay xannibaan codsiyada ka yimaada VPN, proxy, qanjidhada Tor iyo bixiyayaasha martigelinta, sidaas darteed codsi maray hubinta waddanka wali waa la diidi karaa sababtoo ah waxa cinwaanku yahay, ma aha halka uu yahay. Haddii xannibaaddu bilowday markii aad tunnelseedka u rartay martigeliyaha daruuraha, kani waa lakabkaas.

Tallaabada 3: hubi hab-dhaqanka kootada

Bixisyada la wadaago waxay ku guuldareystaan hab saddexaad. Xadka xawaaraha IP kasta iyo tirinta fadhiyada waxay u arkaan hal cinwaan hal macmiil, bixis macmiilna waxay qaaddaa macmiilo badan isku mar, sidaas darteed qaabka codsiyada aan ku cusbayn xiriirka guriga ayaa ka muuqda bixista sida otomaatig. Calaamaddu waa xannibaad ama xannibaad ku meel gaar ah oo iskeed u baaba'a, ma aha fariin khalad juqraafiyeed.

Qaybintu waxay sidoo kale si ula kac ah u tirin kartaa fadhiyada cinwaan kasta, tusaale ahaan shaqo Lambda@Edge oo wax ku qorta DynamoDB. Taasi ma aqoonsato qofka ka dambeeya bixista, laakiin waxay ka dhigtaa hal cinwaan inuu u dhaqmo sida hal macmiil, taas oo inta badan ah ujeeddada dhabta ah. Diiwaangeli cinwaannada kala duwan ee ka dambeeya cabasho ka hor intaadan hagaajin xad kasta, sababtoo ah NAT shirkadeed oo ka horreeya laba boqol oo miis ayaa dibadda ka muuqda sida bixis mashquul ah. Filasho natiijooyin togan oo been abuur ah oo ka yimaada NAT shirkadeed, shabakad jaamacadeed ama qoys weyn oo dhammaantood soo bandhiga hal cinwaan.

Eeg codsiyada tijaabada ah ee WAF iyo cabbirrada qawaaniinta ku salaysan xawaaraha ka hor intaadan eedayn juqraafiyada. Qaanuun ku kaca mugga codsiyada bixista wuxuu ka tagaa saxeex cad, wuxuuna sidoo kale kuu sheegaa haddii hagaajintu tahay hagaajin xad ama waddo bixis oo kale.

Waxa la beddelo, iyo nidaamka

Marka hore go'aanso waxa ikkawku u jiro. Haynta kataloog gobol, xaddididda xadgudubka iyo dhaqangelinta qandaraas waa saddex yool oo kala duwan, oo kaliya kan ugu horreeya ayaa lagu wax ka qabtaa liiska waddamada. Haddii yoolku yahay ikkawka xadgudubka, bixistu waa unugga aqoonsiga qaldan, oo xaddi kasta oo liisaska la ogolaaday ma ka dhigi karaan cinwaan la wadaago mid lagu kalsoonaan karo.

Haddii liiska la ogolaaday dhab ahaantii loo baahan yahay cinwaan deggan, bixis gaar ah ama taagan ayaa caawiya sababtoo ah cinwaanka waa la diiwaangelin karaa oo ma wareego. Ma ka dhigto cinwaanka mid la deggan, mana beddelo waddanka keyd GeoIP u qoondeeyo. Wareejinta bixisyada ilaa mid shaqeeyo waa isbeddel sumcad ku meel gaar ah, ma aha hagaajin siyaasad.

Kadib ku qor natiijada ereyada uu isticmaalay codsadaha: cinwaankan waxaa xannibay waddan, sumcad ama xawaare, oo kani waa ikkawka beddelmi doona. Wax kasta oo ka mugdi badan wuxuu martiqaadayaa isla tigidhka toddobaadka danbe oo bixis kale wata.