การบล็อกตามภูมิศาสตร์ของ CloudFront หลัง VPN: วินิจฉัยทางออก

ข้อจำกัดทางภูมิศาสตร์คือการตัดสินใจเกี่ยวกับที่อยู่ IP และ VPN เปลี่ยนว่าบริการเห็นที่อยู่ใด ประโยคเดียวนี้อธิบายรายงานที่สับสนส่วนใหญ่ที่มาถึงคิวสนับสนุน: «เว็บไซต์ทำงานที่บ้านและล้มเหลวบนอุโมงค์» กับ «เว็บไซต์ทำงานบนอุโมงค์แต่ไม่มีใครอื่นในออฟฟิศโหลดได้» เป็นกลไกเดียวกันที่ให้ผลตรงกันข้าม คู่มือนี้ดำเนินการวินิจฉัยตามลำดับที่ตัดสาเหตุออก เริ่มจากสิ่งที่ edge บอกคุณจริง ๆ ที่อยู่ทางออกเดียวกันอาจผ่านการควบคุมหนึ่งและล้มเหลวในครั้งถัดไป เพราะแต่ละการควบคุมประเมินคุณสมบัติที่แตกต่างกันของที่อยู่นั้น

อ่าน 403 ก่อนเปลี่ยนแปลงสิ่งใด

การบล็อกทางภูมิศาสตร์และการบล็อก WAF มาทั้งคู่เป็น 403 และแก้ไขในที่ต่างกัน บันทึกส่วนหัวตอบสนองและบรรทัดแรกของเนื้อหา เพราะ CloudFront เพิ่มส่วนหัวแคชและสตริงเหตุผลที่บอกว่าชั้นใดตอบ:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

เมื่อการกระจายเองบล็อกคำขอเพราะภูมิศาสตร์ เนื้อหาจะมีข้อความระบุข้อจำกัดประเทศ เมื่อกฎ WAF บล็อก เนื้อหามักเป็นหน้าเรียบง่ายที่ถูกห้าม และ ID คำขอของการกระจายในส่วนหัวคือสิ่งที่คุณนำไปยังบันทึก WAF ความผิดพลาดตรงนี้ส่งคุณไปยังรายการประเทศที่อนุญาตสำหรับปัญหากฎตามอัตรา ซึ่งเป็นงานหนึ่งวันที่ไม่มีทางสำเร็จ

ขั้นที่ 1: ยืนยันว่าการกระจายเห็นที่อยู่ใด

ถามเครือข่ายว่าโลกภายนอกเห็นอะไร จากเครื่องเดียวกันและเส้นทางเดียวกันกับที่เบราว์เซอร์ที่ล้มเหลวใช้ curl -s https://checkip.amazonaws.com คืนค่าที่อยู่สาธารณะของผู้เรียก ซึ่งสำหรับไคลเอนต์ VPN คือ ทางออกไม่ใช่การเชื่อมต่อที่บ้านของผู้สมัคร:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

หากที่อยู่นั้นเป็นของทางออกของผู้ให้บริการของคุณในประเทศอื่น การตัดสินใจทางภูมิศาสตร์ได้เกิดขึ้นแล้วและไม่มีอะไรบนไคลเอนต์จะเปลี่ยน เขียนที่อยู่ลงในตั๋วก่อนแตะการตั้งค่า เพราะมันเป็นข้อเท็จจริงเดียวในรายงานที่คุณและบริการเห็นตรงกัน

ขั้นที่ 2: แยกประเทศออกจากชื่อเสียง

CloudFront กำหนดตำแหน่งผู้ชมจากฐานข้อมูล GeoIP ของบุคคลที่สามที่อิงตามที่อยู่ต้นทางของคำขอ และการแมปเป็นการประมาณและระดับภูมิภาค ไม่ใช่การระบุที่แน่นอน เมื่อไม่สามารถระบุตำแหน่งได้ ค่าเริ่มต้นที่จัดทำเอกสารไว้คือยังคงให้บริการเนื้อหา ดังนั้นจึงมีสามสถานะที่เป็นไปได้: ทางออกแมปไปยังประเทศที่ถูกบล็อก ไปยังประเทศที่อนุญาต หรือฐานข้อมูลไม่มีความเห็นและคำขอดำเนินต่อไป

ผู้ใช้ในประเทศที่ถูกบล็อกอาจดูเหมือนอยู่ในประเทศที่อนุญาตหากผู้ให้บริการมีทางออกที่นั่น และผู้ใช้ในประเทศที่อนุญาตอาจถูกบล็อกเพราะทางออกลงทะเบียนไว้ที่อื่น ไม่มีผลลัพธ์ใดพิสูจน์ว่าข้อจำกัดเสีย ทั้งคู่คือข้อจำกัดที่ทำงานกับที่อยู่ที่ได้รับ ตามที่ เอกสารข้อจำกัดทางภูมิศาสตร์ของ CloudFront อธิบาย

ชื่อเสียงเป็นแกนที่สองและอยู่รอดข้ามอุโมงค์ กลุ่มกฎที่จัดการของ AWS WAF สำหรับ IP นิรนามถูกสร้างขึ้นเพื่อบล็อกคำขอจาก VPN พร็อกซี โหนด Tor และผู้ให้บริการโฮสติ้ง ดังนั้นคำขอที่ผ่านการตรวจประเทศอาจยังถูกปฏิเสธเพราะที่อยู่คืออะไร ไม่ใช่ที่ไหน หากการบล็อกเริ่มเมื่อคุณย้ายอุโมงค์ไปยังโฮสต์คลาวด์ นี่น่าจะเป็นชั้นนั้น

ขั้นที่ 3: ตรวจสอบพฤติกรรมโควตา

ทางออกร่วมกันล้มเหลวในวิธีที่สาม ขีดจำกัดอัตราต่อ IP และการนับเซสชันถือที่อยู่หนึ่งเป็นไคลเอนต์หนึ่ง และทางออกของผู้บริโภคบรรทุกผู้สมัครหลายรายพร้อมกัน รูปแบบคำขอที่ดูธรรมดาจากการเชื่อมต่อที่บ้านจึงดูเหมือนระบบอัตโนมัติจากทางออก อาการคือการจำกัดหรือการบล็อกชั่วคราวที่หายไปเอง ไม่ใช่ข้อความผิดพลาดทางภูมิศาสตร์

การกระจายยังสามารถนับเซสชันต่อที่อยู่โดยเจตนา เช่น ด้วยฟังก์ชัน Lambda@Edge ที่เขียนลง DynamoDB นั่นไม่ได้ระบุตัวบุคคลหลังทางออก แต่ทำให้ที่อยู่หนึ่งทำงานเหมือนไคลเอนต์หนึ่ง ซึ่งมักเป็นเจตนาจริง บันทึกที่อยู่ที่แตกต่างกันหลังข้อร้องเรียนก่อนปรับเกณฑ์ใด ๆ เพราะ NAT ขององค์กรหน้าโต๊ะสองร้อยตัวดูจากภายนอกเหมือนทางออกที่ยุ่งเหยิงพอดี คาดหวังผลบวกลวงจาก NAT ขององค์กร เครือข่ายมหาวิทยาลัย หรือครัวเรือนขนาดใหญ่ที่นำเสนอที่อยู่เดียว

ดูคำขอตัวอย่างของ WAF และเมตริกกฎตามอัตราก่อนโทษภูมิศาสตร์ กฎที่ทริกเกอร์ตามปริมาณคำขอของทางออกทิ้งลายเซ็นที่ชัดเจน และยังบอกคุณว่าการแก้ไขคือการปรับขีดจำกัดหรือเส้นทางออกอื่น

จะเปลี่ยนอะไร และตามลำดับใด

ก่อนอื่นตัดสินใจว่าการควบคุมมีไว้เพื่ออะไร การรักษาแค็ตตาล็อกระดับภูมิภาค การจำกัดการละเมิด และการบังคับใช้สัญญาเป็นสามเป้าหมายที่แตกต่างกัน และมีเพียงเป้าแรกเท่านั้นที่จัดการด้วยรายการประเทศ หากเป้าหมายคือการควบคุมการละเมิด ทางออกเป็นหน่วยของตัวตนที่ผิด และรายการที่อนุญาตจำนวนเท่าใดก็ไม่ทำให้ที่อยู่ร่วมกันน่าเชื่อถือ

หากต้องการที่อยู่ที่มั่นคงสำหรับรายการที่อนุญาตจริง ๆ ทางออกเฉพาะหรือแบบคงที่ช่วยได้เพราะที่อยู่สามารถลงทะเบียนได้และไม่หมุน มันไม่ได้ทำให้ที่อยู่เป็นที่อยู่อาศัย และไม่เปลี่ยนประเทศที่ฐานข้อมูล GeoIP กำหนดให้ การหมุนทางออกจนกว่าจะใช้ได้คือการเปลี่ยนชื่อเสียงชั่วคราว ไม่ใช่การแก้ไขนโยบาย

จากนั้นเขียนผลลัพธ์ด้วยคำที่ผู้ร้องใช้: ที่อยู่นี้ถูกบล็อกตามประเทศ ชื่อเสียง หรืออัตรา และนี่คือการควบคุมที่จะเปลี่ยน อะไรที่คลุมเครือกว่านี้เชิญตั๋วเดิมในสัปดาห์หน้าด้วยทางออกอื่น