Bllokimi gjeografik i CloudFront pas një VPN: diagnostikimi i daljes

Një kufizim gjeografik është një vendim për një adresë IP, dhe një VPN ndryshon cilën adresë sheh shërbimi. Ai një fjali shpjegon shumicën e raporteve konfuze që arrijnë në një radhë mbështetjeje: «faqja punon në shtëpi dhe dështon në tunel» dhe «faqja punon në tunel por askush tjetër në zyrë nuk mund ta ngarkojë» janë i njëjti mekanizëm që prodhon rezultate të kundërta. Ky manual ndjek diagnozën në rendin që përjashton shkaqet, duke filluar nga ajo që skaji ju tha në të vërtetë. E njëjta adresë daljeje mund të kalojë një kontroll dhe të dështojë në tjetrin, sepse çdo kontroll vlerëson një veti tjetër të asaj adrese.

Lexoni 403 para se të ndryshoni ndonjë gjë

Bllokimi gjeografik dhe bllokimi WAF vijnë të dy si 403, dhe rregullohen në vende të ndryshme. Regjistroni titujt e përgjigjes dhe rreshtin e parë të trupit, sepse CloudFront shton një titull cache dhe një varg arsyeje që ju tregojnë cila shtresë u përgjigj:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Kur vetë shpërndarja e bllokoi kërkesën për shkak të gjeografisë, trupi mbart një mesazh që emërton kufizimin e vendit. Kur e bllokoi një rregull WAF, trupi është zakonisht një faqe e përgjithshme e ndaluar dhe ID-ja e kërkesës së shpërndarjes në tituj është ajo që çoni në regjistrat WAF. Një gabim këtu ju dërgon te lista e vendeve të lejuara për një problem me një rregull të bazuar në shpejtësi, që është një ditë punë që nuk mund të ketë sukses.

Hapi 1: konfirmoni cilën adresë sheh shpërndarja

Pyetni rrjetin çfarë sheh bota e jashtme, nga e njëjta makinë dhe e njëjta rrugë që përdor shfletuesi që dështon. curl -s https://checkip.amazonaws.com kthen adresën publike të thirrësit, e cila për një klient VPN është dalja dhe jo lidhja e shtëpisë e abonentit:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Nëse ajo adresë i përket daljes së ofruesit tuaj në një vend tjetër, vendimi gjeografik është marrë tashmë dhe asgjë në klient nuk do ta ndryshojë. Shkruajeni adresën në tiketë përpara se të prekni një cilësim, sepse është fakti i vetëm në raport për të cilin ju dhe shërbimi jeni dakord.

Hapi 2: ndani vendin nga reputacioni

CloudFront përcakton vendndodhjen e shikuesit nga një bazë të dhënash GeoIP e palës së tretë e bazuar në adresën burimore të kërkesës, dhe përputhja është e përafërt dhe rajonale, jo një përcaktim i saktë. Kur vendndodhja nuk mund të përcaktohet, parazgjedhja e dokumentuar është të shërbehet përmbajtja gjithsesi. Pra ka tre gjendje të mundshme: dalja hartëzohet në një vend të bllokuar, në një vend të lejuar, ose baza e të dhënave nuk ka mendim dhe kërkesa vazhdon.

Një përdorues në një vend të bllokuar mund të duket se është në një vend të lejuar nëse ofruesi ka një dalje atje, dhe një përdorues në një vend të lejuar mund të bllokohet sepse dalja është regjistruar diku tjetër. Asnjëri prej rezultateve nuk provon se kufizimi është prishur. Të dyja janë kufizimi që vepron mbi adresën që iu dha, siç përshkruan dokumentacioni i CloudFront për kufizimet gjeografike.

Reputacioni është boshti i dytë dhe i mbijeton tunelit. Grupi i rregullave të menaxhuara të AWS WAF për IP anonime është ndërtuar për të bllokuar kërkesat nga VPN, proxy, nyje Tor dhe ofrues hostimi, kështu që një kërkesë që kalon kontrollin e vendit mund të refuzohet ende për shkak të asaj që është adresa, jo ku ndodhet. Nëse bllokimi filloi kur e zhvendosët tunelin në një host cloud, ky është ndoshta ai shtresë.

Hapi 3: kontrolloni sjelljen e kuotës

Daljet e përbashkëta dështojnë në një mënyrë të tretë. Kufijtë e shpejtësisë për IP dhe numërimet e sesioneve e trajtojnë një adresë si një klient, dhe një dalje konsumatori mbart shumë abonentë njëherësh, kështu që një model kërkesash i zakonshëm nga një lidhje shtëpie duket si automatizim nga dalja. Simptoma është frenimi ose një bllokim i përkohshëm që zhduket vetë, jo një mesazh gabimi gjeografik.

Një shpërndarje mund të numërojë edhe qëllimisht sesione për adresë, për shembull me një funksion Lambda@Edge që shkruan në DynamoDB. Kjo nuk e identifikon personin pas daljes, por bën që një adresë të sillet si një klient, që shpesh është qëllimi i vërtetë. Regjistroni adresat e dallueshme pas një ankese përpara se të rregulloni çdo prag, sepse një NAT korporativ përpara dyqind tavolinave duket nga jashtë saktësisht si një dalje e zënë. Prisni pozitive të rreme nga NAT korporativ, një rrjet universiteti ose një familje e madhe që të gjitha paraqesin një adresë të vetme.

Shikoni kërkesat e mostruara të WAF dhe metrikat e rregullave të bazuara në shpejtësi përpara se të fajësoni gjeografinë. Një rregull që aktivizohet nga vëllimi i kërkesave të daljes lë një nënshkrim të qartë, dhe gjithashtu ju tregon nëse rregullimi është një përshtatje kufiri apo një rrugë daljeje tjetër.

Çfarë të ndryshoni, dhe në çfarë rendi

Së pari vendosni për çfarë është kontrolli. Mbajtja e një katalogu rajonal, kufizimi i abuzimit dhe zbatimi i një kontrate janë tre qëllime të ndryshme, dhe vetëm i pari trajtohet nga një listë vendesh. Nëse qëllimi është kontrolli i abuzimit, dalja është njësia e gabuar e identitetit, dhe asnjë sasi listash të lejuara nuk do ta bëjë një adresë të përbashkët të besueshme.

Nëse vërtet nevojitet një adresë e qëndrueshme për një listë të lejuar, një dalje e dedikuar ose statike ndihmon sepse adresa mund të regjistrohet dhe nuk rrotullohet. Nuk e bën adresën banimi, dhe nuk ndryshon vendin që i cakton një bazë të dhënash GeoIP. Rrotullimi i daljeve derisa njëra të punojë është një ndryshim i përkohshëm reputacioni, jo një rregullim i politikës.

Pastaj shkruani rezultatin me termat që përdori kërkuesi: kjo adresë është bllokuar sipas vendit, reputacionit ose shpejtësisë, dhe ky është kontrolli që do të ndryshojë. Çdo gjë më e paqartë fton të njëjtën tiketë javën tjetër me një dalje tjetër.