VPN arkasında CloudFront coğrafi engellemesi: çıkışı teşhis etmek

Coğrafi kısıtlama bir IP adresi hakkında karardır ve VPN hizmetin hangi adresi gördüğünü değiştirir. Bu tek cümle destek kuyruğuna gelen kafa karıştırıcı raporların çoğunu açıklar: «site evde çalışıyor ve tünelde başarısız oluyor» ile «site tünelde çalışıyor ama ofisteki başka kimse yükleyemiyor» aynı mekanizmanın zıt sonuçlarıdır. Bu kılavuz teşhisi nedenleri dışlayan sırayla yürütür ve edge'in size gerçekte ne söylediğiyle başlar. Aynı çıkış adresi bir kontrolü geçip sonrakinde başarısız olabilir, çünkü her kontrol o adresin farklı bir özelliğini değerlendirir.

Herhangi bir şeyi değiştirmeden önce 403'ü okuyun

Coğrafi engelleme ve WAF engellemesi ikisi de 403 olarak gelir ve farklı yerlerde düzeltilir. Yanıt başlıklarını ve gövdenin ilk satırını kaydedin, çünkü CloudFront hangi katmanın yanıt verdiğini söyleyen bir önbellek başlığı ve neden dizesi ekler:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Dağıtımın kendisi isteği coğrafya nedeniyle engellediğinde, gövdede ülke kısıtlamasını adlandıran bir mesaj bulunur. Bir WAF kuralı engellediğinde, gövde genellikle genel bir yasak sayfasıdır ve başlıklardaki dağıtım istek kimliği WAF günlüklerine götürdüğünüz şeydir. Burada hata yapmak sizi hız tabanlı bir kural sorunu için ülke izin listesine gönderir; bu, başarılı olamayacak bir günlük iştir.

Adım 1: dağıtımın hangi adresi gördüğünü doğrulayın

Ağa dış dünyanın ne gördüğünü sorun; başarısız tarayıcının kullandığı aynı makineden ve aynı rotadan. curl -s https://checkip.amazonaws.com arayanın genel adresini döndürür; bir VPN istemcisi için bu abonenin ev bağlantısı değil çıkıştır:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Bu adres sağlayıcınızın başka bir ülkedeki çıkışına aitse, coğrafi karar zaten verilmiştir ve istemcide hiçbir şey bunu değiştirmez. Bir ayara dokunmadan önce adresi bilete yazın, çünkü raporda sizinle hizmetin anlaştığı tek gerçek odur.

Adım 2: ülkeyi itibardan ayırın

CloudFront izleyicinin konumunu isteğin kaynak adresine dayanan üçüncü taraf bir GeoIP veritabanından belirler ve eşleme kesin bir belirleme değil, yaklaşık ve bölgeseldir. Konum belirlenemediğinde, belgelenen varsayılan içeriği yine de sunmaktır. Dolayısıyla üç olası durum vardır: çıkış engellenen bir ülkeye, izin verilen bir ülkeye eşlenir ya da veritabanının bir görüşü yoktur ve istek devam eder.

Engellenen ülkedeki bir kullanıcı, sağlayıcının orada bir çıkışı varsa izin verilen bir ülkede görünebilir; izin verilen ülkedeki bir kullanıcı ise çıkış başka yerde kayıtlı olduğu için engellenebilir. Sonuçların hiçbiri kısıtlamanın bozuk olduğunu kanıtlamaz. Her ikisi de kısıtlamanın kendisine verilen adres üzerinde çalışmasıdır, CloudFront coğrafi kısıtlama belgelerinin açıkladığı gibi.

İtibar ikinci eksendir ve tüneli atlatır. AWS WAF'ın anonim IP'ler için yönetilen kural grubu VPN, proxy, Tor düğümleri ve barındırma sağlayıcılarından gelen istekleri engellemek üzere kurulmuştur, bu yüzden ülke kontrolünü geçen bir istek yine de adresin nerede olduğu değil ne olduğu nedeniyle reddedilebilir. Tüneli bir bulut sunucusuna taşıdığınızda engelleme başladıysa, bu muhtemelen o katmandır.

Adım 3: kota davranışını kontrol edin

Paylaşılan çıkışlar üçüncü şekilde başarısız olur. IP başına hız sınırları ve oturum sayımları bir adresi tek bir istemci olarak ele alır ve tüketici çıkışı aynı anda çok sayıda abone taşır, bu yüzden ev bağlantısından sıradan görünen istek deseni çıkıştan otomasyon gibi görünür. Belirti kendi kendine geçen kısıtlama veya geçici engellemedir, coğrafi hata mesajı değildir.

Bir dağıtım adres başına oturumları kasıtlı olarak da sayabilir, örneğin DynamoDB'ye yazan bir Lambda@Edge işleviyle. Bu, çıkışın arkasındaki kişiyi tanımlamaz ama bir adresin tek bir istemci gibi davranmasını sağlar, ki bu genellikle gerçek niyettir. Herhangi bir eşiği ayarlamadan önce şikayetin arkasındaki farklı adresleri günlüğe kaydedin, çünkü iki yüz masanın önündeki kurumsal NAT dışarıdan tam olarak meşgul bir çıkış gibi görünür. Kurumsal NAT, üniversite ağı veya tek bir adres sunan büyük bir hane gibi kaynaklardan yanlış pozitifler bekleyin.

Coğrafyayı suçlamadan önce WAF'ın örneklenmiş isteklerine ve hız tabanlı kural metriklerine bakın. Çıkışın istek hacminde tetiklenen bir kural net bir imza bırakır ve düzeltmenin sınır ayarı mı yoksa farklı bir çıkış yolu mu olduğunu da söyler.

Neyi değiştirmeli ve hangi sırayla

Önce kontrolün ne için olduğuna karar verin. Bölgesel bir katalog sürdürmek, kötüye kullanımı sınırlamak ve bir sözleşmeyi uygulamak üç farklı hedeftir ve yalnızca ilki ülke listesiyle ele alınır. Amaç kötüye kullanım kontrolü ise, çıkış yanlış kimlik birimidir ve hiçbir izin listesi miktarı paylaşılan bir adresi güvenilir yapmaz.

Bir izin listesi için gerçekten kararlı bir adres gerekiyorsa, özel veya statik bir çıkış yardımcı olur çünkü adres kaydedilebilir ve dönmez. Adresi yerleşim yeri yapmaz ve bir GeoIP veritabanının ona atadığı ülkeyi değiştirmez. Biri çalışana kadar çıkışları döndürmek geçici bir itibar değişikliğidir, politikanın düzeltmesi değildir.

Sonra sonucu talep sahibinin kullandığı terimlerle yazın: bu adres ülke, itibar veya hız nedeniyle engellendi ve değişecek kontrol budur. Bundan daha belirsiz bir şey gelecek hafta aynı bileti başka bir çıkışla davet eder.