VPN orqasida CloudFront geo-bloklash: chiqishni tashxislash

Geografik cheklov — bu IP manzil haqidagi qaror, VPN esa xizmat qaysi manzilni ko'rishini o'zgartiradi. Shu bitta jumla qo'llab-quvvatlash navbatiga keladigan chalkash xabarlarning ko'pini tushuntiradi: «sayt uyda ishlaydi, tunnelda esa ishlamaydi» va «sayt tunnelda ishlaydi, lekin ofisda boshqa hech kim uni yuklay olmaydi» — bir mexanizmning qarama-qarshi natijalari. Ushbu qo'llanma tashxisni sabablarni istisno qiluvchi tartibda olib boradi, chet sizga aslida nima aytganidan boshlab. Bir xil chiqish manzili bir nazoratdan o'tib, keyingisida muvaffaqiyatsiz bo'lishi mumkin, chunki har bir nazorat o'sha manzilning boshqa xususiyatini baholaydi.

Biror narsani o'zgartirishdan oldin 403 ni o'qing

Geo blok va WAF bloki ikkalasi ham 403 sifatida keladi va ular turli joylarda tuzatiladi. Javob sarlavhalarini va tananing birinchi satrini yozib oling, chunki CloudFront kesh sarlavhasi va sabab satrini qo'shadi, ular qaysi qatlam javob berganini aytadi:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Tarqatish o'zi geografiya sababli so'rovni bloklaganda, tanada mamlakat cheklovini nomlaydigan xabar bo'ladi. Uni WAF qoidasi bloklaganda, tana odatda umumiy taqiqlangan sahifa bo'ladi va sarlavhalardagi tarqatish so'rovi ID si WAF jurnallariga olib boradigan narsadir. Bu yerda xato qilish sizni tezlikka asoslangan qoida muammosi uchun ruxsat etilgan mamlakatlar ro'yxatiga yuboradi, bu esa muvaffaqiyat qozona olmaydigan bir kunlik ishdir.

1-qadam: tarqatish qaysi manzilni ko'rishini tasdiqlang

Tarmoqdan tashqi dunyo nima ko'rishini so'rang, muvaffaqiyatsiz brauzer ishlatadigan bir xil mashinadan va bir xil marshrutdan. curl -s https://checkip.amazonaws.com qo'ng'iroq qiluvchining ommaviy manzilini qaytaradi, VPN mijozi uchun bu abonentning uy aloqasi emas, chiqish:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Agar bu manzil boshqa mamlakatdagi provayderingizning chiqishiga tegishli bo'lsa, geo-qaror allaqachon qabul qilingan va mijozda hech narsa uni o'zgartirmaydi. Manzilni sozlamaga tegishdan oldin bilettga yozing, chunki bu hisobotdagi siz va xizmat kelishadigan yagona faktdir.

2-qadam: mamlakatni obro'dan ajrating

CloudFront tomoshabin joylashuvini so'rovning manba manziliga asoslangan uchinchi tomon GeoIP ma'lumotlar bazasidan aniqlaydi va xaritalash aniq belgilash emas, taxminiy va mintaqaviydir. Joylashuvni aniqlab bo'lmasa, hujjatlashtirilgan standart — kontentni baribir taqdim etish. Shunday qilib uchta mumkin bo'lgan holat bor: chiqish bloklangan mamlakatga, ruxsat etilgan mamlakatga xaritalanadi yoki ma'lumotlar bazasining fikri yo'q va so'rov davom etadi.

Bloklangan mamlakatdagi foydalanuvchi provayder u yerda chiqishga ega bo'lsa, ruxsat etilgan mamlakatdagidek ko'rinishi mumkin, ruxsat etilgan mamlakatdagi foydalanuvchi esa chiqish boshqa joyda ro'yxatga olingani uchun bloklanishi mumkin. Natijalarning hech biri cheklov buzilganini isbotlamaydi. Ikkalasi ham cheklovning o'ziga berilgan manzil ustida ishlashi, CloudFront geografik cheklovlar hujjati tasvirlaganidek.

Obro' ikkinchi o'q bo'lib, u tunneldan omon qoladi. AWS WAF ning anonim IP uchun boshqariladigan qoidalar guruhi VPN, proksi, Tor tugunlari va hosting provayderlaridan keladigan so'rovlarni bloklash uchun qurilgan, shuning uchun mamlakat tekshiruvidan o'tgan so'rov ham manzil qayerdaligiga emas, nima ekanligiga ko'ra rad etilishi mumkin. Agar bloklash tunnelni bulut xostiga ko'chirganingizda boshlangan bo'lsa, bu o'sha qatlam bo'lishi ehtimoli yuqori.

3-qadam: kvota xatti-harakatini tekshiring

Umumiy chiqishlar uchinchi usulda muvaffaqiyatsiz bo'ladi. Har bir IP uchun tezlik cheklovlari va sessiyalar soni bitta manzilni bitta mijoz deb hisoblaydi, iste'molchi chiqishi esa bir vaqtning o'zida ko'plab abonentlarni olib yuradi, shuning uchun uy aloqasidan oddiy ko'rinadigan so'rov namunasi chiqishdan avtomatlashtirishdek ko'rinadi. Alomat — o'z-o'zidan yo'qoladigan cheklash yoki vaqtinchalik blok, geografik xato xabari emas.

Tarqatish manzil bo'yicha sessiyalarni ataylab ham sanashi mumkin, masalan DynamoDB ga yozadigan Lambda@Edge funksiyasi bilan. Bu chiqish orqasidagi shaxsni aniqlamaydi, lekin bitta manzilni bitta mijoz kabi tutishga majbur qiladi, bu ko'pincha haqiqiy maqsaddir. Har qanday chegarani sozlashdan oldin shikoyat orqasidagi turli manzillarni yozib oling, chunki ikki yuz stol oldidagi korporativ NAT tashqaridan xuddi band chiqishdek ko'rinadi. Korporativ NAT, universitet tarmog'i yoki bitta manzilni taqdim etadigan katta xonadondan noto'g'ri ijobiy natijalarni kuting.

Geografiyani ayblashdan oldin WAF ning namuna so'rovlarini va tezlikka asoslangan qoidalar ko'rsatkichlarini ko'ring. Chiqishning so'rov hajmida ishga tushadigan qoida aniq imzo qoldiradi va tuzatish chegara sozlashmi yoki boshqa chiqish yo'li ekanini ham aytadi.

Nimani o'zgartirish kerak va qanday tartibda

Avval nazorat nima uchun ekanini hal qiling. Mintaqaviy katalogni saqlash, suiiste'molni cheklash va shartnomani bajarish uch xil maqsad va faqat birinchisini mamlakatlar ro'yxati hal qiladi. Agar maqsad suiiste'mol nazorati bo'lsa, chiqish shaxsni aniqlashning noto'g'ri birligidir va qancha ruxsat ro'yxati bo'lmasin, umumiy manzilni ishonchli qilmaydi.

Agar ruxsat ro'yxati uchun haqiqatan barqaror manzil kerak bo'lsa, maxsus yoki statik chiqish yordam beradi, chunki manzilni ro'yxatdan o'tkazish mumkin va u aylanmaydi. Bu manzilni turar-joyga aylantirmaydi va GeoIP ma'lumotlar bazasi beradigan mamlakatni ham o'zgartirmaydi. Bittasi ishlaguncha chiqishlarni aylantirish — obro'ning vaqtinchalik o'zgarishi, siyosatning tuzatilishi emas.

So'ng natijani so'rov yuborgan shaxs ishlatgan atamalar bilan yozing: bu manzil mamlakat, obro' yoki tezlik bo'yicha bloklangan va o'zgaradigan nazorat — shu. Bundan noaniqroq har qanday narsa keyingi haftada o'sha bilettni boshqa chiqish bilan taklif qiladi.