Pagharang ng heograpiya ng CloudFront sa likod ng VPN: i-diagnose ang labasan

Ang heograpikong paghihigpit ay desisyon tungkol sa isang IP address, at binabago ng VPN kung aling address ang nakikita ng serbisyo. Ang isang pangungusap na iyon ay nagpapaliwanag sa karamihan ng nakakalitong ulat na dumarating sa pila ng suporta: «gumagana ang site sa bahay at nabigo sa tunnel» at «gumagana ang site sa tunnel pero walang ibang tao sa opisina ang makapag-load nito» ay ang parehong mekanismo na nagbibigay ng magkasalungat na resulta. Ang runbook na ito ay naglalakad sa diagnosis sa ayos na nag-aalis ng mga sanhi, simula sa aktwal na sinabi sa iyo ng edge. Ang parehong address ng labasan ay maaaring pumasa sa isang kontrol at mabigo sa susunod, dahil ang bawat kontrol ay tinatasa ang ibang katangian ng address na iyon.

Basahin ang 403 bago baguhin ang anuman

Ang heograpikong harang at harang ng WAF ay dumarating kapwa bilang 403, at inaayos sa magkaibang lugar. Kunin ang mga header ng tugon at ang unang linya ng katawan, dahil nagdadagdag ang CloudFront ng cache header at reason string na nagsasabi kung aling layer ang sumagot:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Kapag ang distribusyon mismo ang humarang sa kahilingan dahil sa heograpiya, may mensahe ang katawan na nagpapangalan sa paghihigpit ng bansa. Kapag isang tuntunin ng WAF ang humarang, ang katawan ay karaniwang pangkalahatang page na bawal at ang ID ng kahilingan ng distribusyon sa mga header ang dinadala mo sa mga log ng WAF. Ang pagkakamali dito ay nagpapadala sa iyo sa listahan ng pinapayagang bansa para sa problema ng tuntuning batay sa rate, na isang araw na trabaho na hindi maaaring magtagumpay.

Hakbang 1: kumpirmahin kung aling address ang nakikita ng distribusyon

Tanungin ang network kung ano ang nakikita ng labas na mundo, mula sa parehong makina at parehong ruta na ginagamit ng bumabagsak na browser. Ibinabalik ng curl -s https://checkip.amazonaws.com ang pampublikong address ng tumatawag, na para sa kliyente ng VPN ay ang labasan at hindi ang koneksyon sa bahay ng subscriber:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Kung ang address na iyon ay pag-aari ng labasan ng iyong provider sa ibang bansa, ang heograpikong desisyon ay nagawa na at walang anuman sa kliyente ang magbabago nito. Isulat ang address sa ticket bago pindutin ang isang setting, dahil ito ang tanging katotohanan sa ulat na pinagkasunduan ninyo ng serbisyo.

Hakbang 2: paghiwalayin ang bansa sa reputasyon

Tinutukoy ng CloudFront ang lokasyon ng manonood mula sa GeoIP database ng third party na naka-key sa source address ng kahilingan, at ang pagmamapa ay tinatayang at panrehiyon, hindi tumpak na pagtukoy. Kapag hindi matukoy ang lokasyon, ang dokumentadong default ay ihain pa rin ang nilalaman. Kaya may tatlong posibleng estado: ang labasan ay namamapa sa isang harang na bansa, sa isang pinapayagang bansa, o walang opinyon ang database at nagpapatuloy ang kahilingan.

Ang user sa harang na bansa ay maaaring magmukhang nasa pinapayagang bansa kung may labasan doon ang provider, at ang user sa pinapayagang bansa ay maaaring maharang dahil ang labasan ay nakarehistro sa ibang lugar. Wala sa mga resulta ang nagpapatunay na sira ang paghihigpit. Pareho silang ang paghihigpit ay gumagana sa address na ibinigay dito, gaya ng inilalarawan ng dokumentasyon ng heograpikong paghihigpit ng CloudFront.

Ang reputasyon ay ang ikalawang axis at nakakaligtas ito sa tunnel. Ang managed rule group ng AWS WAF para sa anonymous na IP ay itinayo upang harangin ang mga kahilingan mula sa VPN, proxy, node ng Tor at provider ng hosting, kaya ang kahilingang pumasa sa tsek ng bansa ay maaari pa ring tanggihan dahil sa kung ano ang address, hindi kung nasaan ito. Kung nagsimula ang pagharang nang ilipat mo ang tunnel sa cloud host, malamang ito ang layer na iyon.

Hakbang 3: suriin ang pag-uugali ng quota

Nabibigo ang mga shared na labasan sa ikatlong paraan. Ang mga limitasyon ng rate bawat IP at bilang ng session ay tinatrato ang isang address bilang isang kliyente, at ang labasan ng consumer ay nagdadala ng maraming subscriber nang sabay, kaya ang pattern ng kahilingan na hindi kapansin-pansin mula sa koneksyon sa bahay ay mukhang automation mula sa labasan. Ang sintomas ay paghihigpit o pansamantalang pagharang na kusang nawawala, hindi mensahe ng heograpikong error.

Ang distribusyon ay maaari ring sadyang magbilang ng session bawat address, halimbawa gamit ang function na Lambda@Edge na nagsusulat sa DynamoDB. Hindi nito natutukoy ang tao sa likod ng labasan, ngunit ginagawa nitong kumilos ang isang address na parang isang kliyente, na kadalasan ang tunay na layunin. I-log ang mga natatanging address sa likod ng reklamo bago ayusin ang anumang threshold, dahil ang corporate NAT sa harap ng dalawang daang desk ay mukhang eksaktong abalang labasan mula sa labas. Asahan ang mga false positive mula sa corporate NAT, network ng unibersidad o malaking sambahayan na lahat ay nagpapakita ng iisang address.

Tingnan ang mga sampled na kahilingan ng WAF at ang mga metric ng tuntuning batay sa rate bago sisihin ang heograpiya. Ang tuntuning nagti-trigger sa dami ng kahilingan ng labasan ay nag-iiwan ng malinaw na pirma, at sinasabi rin nito kung ang pagwawasto ay pagsasaayos ng limitasyon o ibang landas ng labasan.

Ano ang babaguhin, at sa anong pagkakasunod-sunod

Pagpasyahan muna kung para saan ang kontrol. Ang pagpapanatili ng panrehiyong katalogo, paglimita sa pang-aabuso at pagpapatupad ng kontrata ay tatlong magkaibang layunin, at ang una lamang ang tinutugunan ng listahan ng bansa. Kung ang layunin ay kontrol sa pang-aabuso, ang labasan ay ang maling yunit ng pagkakakilanlan, at walang dami ng pinapayagang listahan ang gagawa ng shared na address na mapagkakatiwalaan.

Kung talagang kailangan ng matatag na address para sa pinapayagang listahan, nakakatulong ang dedikado o static na labasan dahil ang address ay maaaring irehistro at hindi umiikot. Hindi nito ginagawang tirahan ang address, at hindi nito binabago ang bansang itinatalaga ng GeoIP database dito. Ang pag-ikot ng mga labasan hanggang may gumana ay pansamantalang pagbabago ng reputasyon, hindi pagwawasto ng patakaran.

Pagkatapos isulat ang resulta sa mga terminong ginamit ng humihiling: ang address na ito ay hinarang ayon sa bansa, reputasyon o rate, at ito ang kontrol na magbabago. Anumang mas malabo ay nag-aanyaya sa parehong ticket sa susunod na linggo na may ibang labasan.