VPN کے پیچھے CloudFront جیو بلاکنگ: ایگزٹ کی تشخیص

جغرافیائی پابندی IP ایڈریس کے بارے میں فیصلہ ہے، اور VPN بدلتا ہے کہ سروس کون سا ایڈریس دیکھتی ہے۔ یہی ایک جملہ سپورٹ قطار میں آنے والی بیشتر الجھی ہوئی رپورٹوں کی وضاحت کرتا ہے: «سائٹ گھر پر چلتی ہے اور ٹنل پر ناکام ہوتی ہے» اور «سائٹ ٹنل پر چلتی ہے مگر دفتر میں کوئی اور اسے لوڈ نہیں کر سکتا» ایک ہی طریقہ کار کے الٹ نتائج ہیں۔ یہ رہنما تشخیص کو اسی ترتیب میں کرتا ہے جو وجوہات کو خارج کرتی ہے، اس بات سے شروع کرتے ہوئے جو ایج نے آپ کو واقعی بتایا۔ وہی ایگزٹ ایڈریس ایک کنٹرول پاس کر سکتا ہے اور اگلے میں ناکام ہو سکتا ہے، کیونکہ ہر کنٹرول اس ایڈریس کی مختلف خاصیت کا جائزہ لیتا ہے۔

کچھ بدلنے سے پہلے 403 پڑھیں

جیو بلاک اور WAF بلاک دونوں 403 کے طور پر آتے ہیں، اور انہیں مختلف جگہوں پر ٹھیک کیا جاتا ہے۔ جواب کے ہیڈر اور باڈی کی پہلی سطر محفوظ کریں، کیونکہ CloudFront کیش ہیڈر اور وجہ کی تار شامل کرتا ہے جو بتاتے ہیں کہ کون سی پرت نے جواب دیا:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

جب تقسیم نے خود جغرافیے کی وجہ سے درخواست روکی، باڈی میں ملک کی پابندی کا نام لینے والا پیغام ہوتا ہے۔ جب WAF اصول نے اسے روکا، باڈی عام طور پر ایک عام ممنوع صفحہ ہوتی ہے اور ہیڈروں میں تقسیم درخواست ID وہ چیز ہے جو آپ WAF لاگز میں لے جاتے ہیں۔ یہاں غلطی آپ کو شرح پر مبنی اصول کے مسئلے کے لیے ملکوں کی اجازت فہرست کی طرف بھیجتی ہے، جو ایک دن کا کام ہے جو کامیاب نہیں ہو سکتا۔

مرحلہ 1: تصدیق کریں کہ تقسیم کون سا ایڈریس دیکھتی ہے

نیٹ ورک سے پوچھیں کہ باہر کی دنیا کیا دیکھتی ہے، اسی مشین اور اسی راستے سے جو ناکام براؤزر استعمال کرتا ہے۔ curl -s https://checkip.amazonaws.com کال کرنے والے کا عوامی ایڈریس واپس کرتا ہے، جو VPN کلائنٹ کے لیے گھریلو کنکشن نہیں بلکہ ایگزٹ ہے:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

اگر وہ ایڈریس کسی اور ملک میں آپ کے فراہم کنندہ کے ایگزٹ کا ہے، تو جغرافیائی فیصلہ پہلے ہی ہو چکا ہے اور کلائنٹ پر کچھ بھی اسے نہیں بدلے گا۔ کوئی ترتیب چھونے سے پہلے ایڈریس ٹکٹ میں لکھیں، کیونکہ یہ رپورٹ کی واحد حقیقت ہے جس پر آپ اور سروس متفق ہیں۔

مرحلہ 2: ملک کو ساکھ سے الگ کریں

CloudFront دیکھنے والے کی جگہ درخواست کے ماخذ ایڈریس پر مبنی تیسرے فریق کے GeoIP ڈیٹا بیس سے طے کرتا ہے، اور نقشہ بندی درست تعین نہیں بلکہ تخمینی اور علاقائی ہے۔ جب جگہ کا تعین نہ ہو سکے، دستاویزی طے شدہ رویہ یہ ہے کہ مواد پھر بھی فراہم کیا جائے۔ اس لیے تین ممکنہ حالتیں ہیں: ایگزٹ کسی بلاک شدہ ملک میں نقش ہوتا ہے، کسی اجازت یافتہ ملک میں، یا ڈیٹا بیس کی کوئی رائے نہیں اور درخواست آگے بڑھتی ہے۔

بلاک شدہ ملک کا صارف اجازت یافتہ ملک میں دکھ سکتا ہے اگر فراہم کنندہ کا وہاں ایگزٹ ہو، اور اجازت یافتہ ملک کا صارف اس لیے بلاک ہو سکتا ہے کہ ایگزٹ کہیں اور رجسٹر ہے۔ کوئی نتیجہ یہ ثابت نہیں کرتا کہ پابندی ٹوٹی ہے۔ دونوں پابندی کا اسی ایڈریس پر عمل کرنا ہیں جو اسے دیا گیا، جیسا کہ CloudFront کی جغرافیائی پابندیوں کی دستاویز بیان کرتی ہے۔

ساکھ دوسرا محور ہے اور یہ ٹنل سے بچ نکالتی ہے۔ AWS WAF کا گمنام IP کے لیے منظم اصول گروپ VPN، پراکسی، Tor نوڈ اور ہوسٹنگ فراہم کنندگان کی درخواستیں روکنے کے لیے بنایا گیا ہے، اس لیے ملک کی جانچ پاس کرنے والی درخواست بھی اس لیے مسترد ہو سکتی ہے کہ ایڈریس کیا ہے، نہ کہ کہاں ہے۔ اگر بلاک تب شروع ہوا جب آپ نے ٹنل کلاؤڈ ہوسٹ پر منتقل کیا، تو یہی وہ پرت ہے۔

مرحلہ 3: کوٹہ کا رویہ جانچیں

مشترکہ ایگزٹ تیسرے طریقے سے ناکام ہوتے ہیں۔ فی IP شرح کی حدیں اور سیشن گنتی ایک ایڈریس کو ایک کلائنٹ سمجھتی ہیں، اور صارفی ایگزٹ ایک وقت میں بہت سے صارفین اٹھاتا ہے، اس لیے گھریلو کنکشن سے معمولی نظر آنے والا درخواست نمونہ ایگزٹ سے خودکاری معلوم ہوتا ہے۔ علامت خود بخود ختم ہونے والی تھروٹلنگ یا عارضی بلاک ہے، جغرافیائی غلطی کا پیغام نہیں۔

تقسیم جان بوجھ کر فی ایڈریس سیشن بھی گن سکتی ہے، مثلاً DynamoDB میں لکھنے والے Lambda@Edge فنکشن سے۔ یہ ایگزٹ کے پیچھے شخص کی شناخت نہیں کرتا، مگر ایک ایڈریس کو ایک کلائنٹ کی طرح برتاؤ کرواتا ہے، جو اکثر اصل مقصد ہوتا ہے۔ کسی بھی حد کو ایڈجسٹ کرنے سے پہلے شکایت کے پیچھے مختلف ایڈریس ریکارڈ کریں، کیونکہ دو سو میزوں کے سامنے کارپوریٹ NAT باہر سے بالکل مصروف ایگزٹ جیسا لگتا ہے۔ کارپوریٹ NAT، یونیورسٹی نیٹ ورک یا ایک ہی ایڈریس پیش کرنے والے بڑے گھرانے سے جھوٹے مثبت کی توقع رکھیں۔

جغرافیے کو الزام دینے سے پہلے WAF کی نمونہ درخواستیں اور شرح پر مبنی اصول پیمائشیں دیکھیں۔ ایگزٹ کی درخواست حجم پر فعال ہونے والا اصول واضح دستخط چھوڑتا ہے، اور یہ بھی بتاتا ہے کہ حل حد کی ایڈجسٹمنٹ ہے یا مختلف اخراجی راستہ۔

کیا بدلیں، اور کس ترتیب سے

پہلے طے کریں کہ کنٹرول کس لیے ہے۔ علاقائی کیٹلاگ رکھنا، بدسلوکی محدود کرنا اور معاہدہ نافذ کرنا تین مختلف اہداف ہیں، اور صرف پہلے کو ممالک کی فہرست سے نمٹایا جاتا ہے۔ اگر ہدف بدسلوکی کا کنٹرول ہے، ایگزٹ شناخت کی غلط اکائی ہے، اور کتنی ہی اجازت فہرستیں ہوں مشترکہ ایڈریس قابل اعتماد نہیں بنے گا۔

اگر اجازت فہرست کے لیے واقعی مستحکم ایڈریس درکار ہو، مخصوص یا مستقل ایگزٹ مدد کرتا ہے کیونکہ ایڈریس رجسٹر ہو سکتا ہے اور گھومتا نہیں۔ یہ ایڈریس کو رہائشی نہیں بناتا، اور GeoIP ڈیٹا بیس کا دیا ہوا ملک بھی نہیں بدلتا۔ ایک چلنے تک ایگزٹ گھمانا عارضی ساکھ تبدیلی ہے، پالیسی کا حل نہیں۔

پھر نتیجہ درخواست کنندہ کے استعمال کردہ الفاظ میں لکھیں: یہ ایڈریس ملک، ساکھ یا شرح کی وجہ سے بلاک ہے، اور بدلنے والا کنٹرول یہی ہے۔ اس سے زیادہ مبہم کوئی چیز اگلے ہفتے وہی ٹکٹ مختلف ایگزٹ کے ساتھ بلاتی ہے۔