Uzuiaji wa kijiografia wa CloudFront nyuma ya VPN: kuchunguza njia ya kutoka

Kizuizi cha kijiografia ni uamuzi kuhusu anwani ya IP, na VPN hubadilisha ni anwani gani huduma inaona. Sentensi hiyo moja inaeleza ripoti nyingi zenye mkanganyiko zinazofika kwenye foleni ya msaada: «tovuti inafanya kazi nyumbani na inashindwa kwenye handaki» na «tovuti inafanya kazi kwenye handaki lakini hakuna mwingine ofisini anayeweza kuipakia» ni mfumo huo huo unaotoa matokeo kinyume. Mwongozo huu unafuata uchunguzi kwa mpangilio unaoondoa sababu, ukianza na kile ukingo ulikwambia kwa kweli. Anwani hiyo hiyo ya kutoka inaweza kupita udhibiti mmoja na kushindwa kwenye ule unaofuata, kwa sababu kila udhibiti hutathmini sifa tofauti ya anwani hiyo.

Soma 403 kabla ya kubadilisha chochote

Kizuizi cha kijiografia na kizuizi cha WAF huja zote kama 403, na hurekebishwa mahali tofauti. Nasa vichwa vya jibu na mstari wa kwanza wa mwili, kwa sababu CloudFront huongeza kichwa cha akiba na mfuatano wa sababu unaokuambia tabaka gani lilijibu:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Wakati usambazaji wenyewe ulizuia ombi kwa sababu ya jiografia, mwili hubeba ujumbe unaotaja kizuizi cha nchi. Wakati kanuni ya WAF ilizuia, mwili kawaida ni ukurasa wa kawaida uliozuiwa na kitambulisho cha ombi la usambazaji kwenye vichwa ndicho unachokipeleka kwenye kumbukumbu za WAF. Kukosea hapa kunakupeleka kwenye orodha ya nchi zinazoruhusiwa kwa tatizo la kanuni inayotegemea kiwango, ambayo ni siku moja ya kazi isiyoweza kufanikiwa.

Hatua 1: thibitisha ni anwani gani usambazaji unaona

Uliza mtandao kile ulimwengu wa nje unaona, kutoka kwa mashine hiyo hiyo na njia hiyo hiyo inayotumiwa na kivinjari kinachoshindwa. curl -s https://checkip.amazonaws.com hurudisha anwani ya umma ya mpigaji simu, ambayo kwa mteja wa VPN ni njia ya kutoka badala ya muunganisho wa nyumbani wa mteja:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Ikiwa anwani hiyo ni ya njia ya kutoka ya mtoa huduma wako katika nchi nyingine, uamuzi wa kijiografia tayari umefanywa na hakuna kitu kwenye mteja kitakachoubadiilisha. Andika anwani kwenye tikiti kabla ya kugusa mpangilio, kwa sababu ndiyo ukweli pekee katika ripoti ambao wewe na huduma mnakubaliana.

Hatua 2: tenganisha nchi na sifa

CloudFront huamua eneo la mtazamaji kutoka hifadhidata ya GeoIP ya mtu wa tatu inayotegemea anwani ya chanzo ya ombi, na uchoraji ramani ni wa kukadiria na wa kikanda, si uamuzi sahihi. Wakati eneo haliwezi kuamuliwa, chaguo-msingi lililoandikwa ni kutoa maudhui hata hivyo. Kwa hiyo kuna hali tatu zinazowezekana: njia ya kutoka inachorwa ramani kwenda nchi iliyozuiwa, kwenda nchi inayoruhusiwa, au hifadhidata haina maoni na ombi linaendelea.

Mtumiaji katika nchi iliyozuiwa anaweza kuonekana kuwa katika nchi inayoruhusiwa ikiwa mtoa huduma ana njia ya kutoka huko, na mtumiaji katika nchi inayoruhusiwa anaweza kuzuiwa kwa sababu njia ya kutoka imesajiliwa mahali pengine. Hakuna matokeo yanayothibitisha kuwa kizuizi kimevunjika. Yote mawili ni kizuizi kinachofanya kazi kwenye anwani iliyopewa, kama nyaraka za vikwazo vya kijiografia vya CloudFront zinaeleza.

Sifa ni mhimili wa pili na inastahimili handaki. Kikundi cha kanuni zinazosimamiwa za AWS WAF kwa IP zisizojulikana kimejengwa kuzuia maombi kutoka VPN, proksi, nodi za Tor na watoa huduma wa mwenyeji, kwa hiyo ombi linalopita ukaguzi wa nchi bado linaweza kukataliwa kwa sababu ya anwani ni nini, si iko wapi. Ikiwa uzuiaji ulianza ulipohamisha handaki kwenda kwenye mwenyeji wa wingu, hii ndiyo tabaka hilo.

Hatua 3: angalia tabia ya kiwango

Njia za kutoka zinazoshirikiwa hushindwa kwa njia ya tatu. Mipaka ya kiwango kwa IP na hesabu za vipindi huchukulia anwani moja kama mteja mmoja, na njia ya kutoka ya mtumiaji hubeba wateja wengi kwa wakati mmoja, kwa hiyo muundo wa maombi usio wa kushangaza kutoka muunganisho wa nyumbani unaonekana kama uendeshaji otomatiki kutoka njia ya kutoka. Dalili ni kuzuia au kizuizi cha muda kinachojiondoa chenyewe, si ujumbe wa hitilafu ya kijiografia.

Usambazaji unaweza pia kuhesabu vipindi kwa anwani kwa makusudi, kwa mfano kwa kazi ya Lambda@Edge inayoandika kwenye DynamoDB. Hiyo haitambui mtu aliye nyuma ya njia ya kutoka, lakini inafanya anwani moja ijitabirishe kama mteja mmoja, ambayo mara nyingi ndiyo nia halisi. Rekodi anwani tofauti nyuma ya malalamiko kabla ya kurekebisha kizingiti chochote, kwa sababu NAT ya shirika mbele ya madawati mia mbili kutoka nje inaonekana kama njia ya kutoka iliyo na shughuli nyingi. Tarajia chanya za uongo kutoka NAT ya shirika, mtandao wa chuo kikuu au kaya kubwa ambazo zote zinawasilisha anwani moja.

Angalia maombi ya sampuli ya WAF na vipimo vya kanuni zinazotegemea kiwango kabla ya kulaumu jiografia. Kanuni inayowaka kwa kiasi cha maombi ya njia ya kutoka huacha sahihi wazi, na pia inakuambia kama suluhisho ni marekebisho ya kikomo au njia nyingine ya kutoka.

Nini cha kubadilisha, na kwa mpangilio gani

Kwanza amua udhibiti ni wa nini. Kudumisha katalogi ya kikanda, kupunguza matumizi mabaya na kutekeleza mkataba ni malengo matatu tofauti, na ni la kwanza tu linaloshughulikiwa na orodha ya nchi. Ikiwa lengo ni udhibiti wa matumizi mabaya, njia ya kutoka ni kitengo kibaya cha utambulisho, na idadi yoyote ya orodha zinazoruhusiwa haitafanya anwani inayoshirikiwa iaminike.

Ikiwa anwani thabiti inahitajika kwa kweli kwa orodha inayoruhusiwa, njia ya kutoka maalum au tuli husaidia kwa sababu anwani inaweza kusajiliwa na haizunguki. Haifanyi anwani kuwa ya makazi, na haibadilishi nchi ambayo hifadhidata ya GeoIP inaiwekea. Kuzungusha njia za kutoka hadi moja ifanye kazi ni mabadiliko ya muda ya sifa, si suluhisho la sera.

Kisha andika matokeo kwa maneno ambayo mwombaji alitumia: anwani hii imezuiwa kwa nchi, sifa au kiwango, na huu ndio udhibiti utakaobadilika. Kitu chochote kisichoeleweka zaidi hualika tikiti hiyo hiyo wiki ijayo na njia nyingine ya kutoka.