Chặn địa lý CloudFront sau VPN: chẩn đoán lối ra

Hạn chế địa lý là quyết định về một địa chỉ IP, và VPN thay đổi địa chỉ mà dịch vụ nhìn thấy. Câu duy nhất đó giải thích phần lớn báo cáo khó hiểu đến hàng đợi hỗ trợ: «trang hoạt động ở nhà và thất bại trên đường hầm» và «trang hoạt động trên đường hầm nhưng không ai khác trong văn phòng tải được» là cùng một cơ chế tạo ra kết quả trái ngược. Tài liệu này đi qua chẩn đoán theo thứ tự loại trừ nguyên nhân, bắt đầu từ điều mà edge thực sự nói với bạn. Cùng một địa chỉ lối ra có thể vượt qua một kiểm soát và thất bại ở kiểm soát tiếp theo, vì mỗi kiểm soát đánh giá một thuộc tính khác của địa chỉ đó.

Đọc 403 trước khi thay đổi bất cứ điều gì

Chặn địa lý và chặn WAF đều đến dưới dạng 403, và được sửa ở những nơi khác nhau. Ghi lại các tiêu đề phản hồi và dòng đầu của thân, vì CloudFront thêm tiêu đề bộ nhớ đệm và chuỗi lý do cho biết lớp nào đã trả lời:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Khi bản thân phân phối chặn yêu cầu vì địa lý, thân mang thông báo nêu hạn chế quốc gia. Khi một quy tắc WAF chặn, thân thường là trang cấm chung và ID yêu cầu phân phối trong tiêu đề là thứ bạn mang đến nhật ký WAF. Sai ở đây đưa bạn đến danh sách quốc gia được phép cho một vấn đề quy tắc dựa trên tốc độ, đó là một ngày làm việc không thể thành công.

Bước 1: xác nhận phân phối nhìn thấy địa chỉ nào

Hỏi mạng xem thế giới bên ngoài nhìn thấy gì, từ cùng máy và cùng tuyến mà trình duyệt thất bại sử dụng. curl -s https://checkip.amazonaws.com trả về địa chỉ công cộng của người gọi, mà với khách hàng VPN là lối ra chứ không phải kết nối tại nhà của thuê bao:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Nếu địa chỉ đó thuộc lối ra của nhà cung cấp ở quốc gia khác, quyết định địa lý đã được đưa ra và không gì trên máy khách thay đổi được. Ghi địa chỉ vào phiếu trước khi chạm vào cài đặt, vì đó là sự kiện duy nhất trong báo cáo mà bạn và dịch vụ đồng ý.

Bước 2: tách quốc gia khỏi danh tiếng

CloudFront xác định vị trí người xem từ cơ sở dữ liệu GeoIP của bên thứ ba dựa trên địa chỉ nguồn của yêu cầu, và ánh xạ là gần đúng và theo khu vực, không phải xác định chính xác. Khi không thể xác định vị trí, mặc định được ghi nhận là vẫn phục vụ nội dung. Vì vậy có ba trạng thái khả dĩ: lối ra ánh xạ tới quốc gia bị chặn, tới quốc gia được phép, hoặc cơ sở dữ liệu không có ý kiến và yêu cầu tiếp tục.

Người dùng ở quốc gia bị chặn có thể trông như đang ở quốc gia được phép nếu nhà cung cấp có lối ra ở đó, và người dùng ở quốc gia được phép có thể bị chặn vì lối ra được đăng ký ở nơi khác. Không kết quả nào chứng minh hạn chế bị hỏng. Cả hai đều là hạn chế đang tác động lên địa chỉ mà nó được cấp, như tài liệu hạn chế địa lý của CloudFront mô tả.

Danh tiếng là trục thứ hai và nó sống sót qua đường hầm. Nhóm quy tắc được quản lý của AWS WAF cho IP ẩn danh được xây dựng để chặn yêu cầu từ VPN, proxy, nút Tor và nhà cung cấp lưu trữ, nên một yêu cầu vượt qua kiểm tra quốc gia vẫn có thể bị từ chối vì địa chỉ là gì, không phải ở đâu. Nếu việc chặn bắt đầu khi bạn chuyển đường hầm sang máy chủ đám mây, đây có lẽ là lớp đó.

Bước 3: kiểm tra hành vi hạn mức

Các lối ra dùng chung thất bại theo cách thứ ba. Giới hạn tốc độ theo IP và số phiên coi một địa chỉ là một khách hàng, và lối ra cho người tiêu dùng mang nhiều thuê bao cùng lúc, nên một mẫu yêu cầu bình thường từ kết nối tại nhà trông giống tự động hóa từ lối ra. Triệu chứng là giới hạn hoặc chặn tạm thời tự hết, không phải thông báo lỗi địa lý.

Một phân phối cũng có thể cố ý đếm phiên theo địa chỉ, ví dụ bằng hàm Lambda@Edge ghi vào DynamoDB. Điều đó không nhận diện người đứng sau lối ra, nhưng khiến một địa chỉ hành xử như một khách hàng, thường là ý định thực sự. Ghi lại các địa chỉ khác nhau sau một khiếu nại trước khi điều chỉnh bất kỳ ngưỡng nào, vì NAT doanh nghiệp trước hai trăm bàn làm việc từ bên ngoài trông đúng như một lối ra bận rộn. Hãy mong đợi dương tính giả từ NAT doanh nghiệp, mạng đại học hoặc hộ gia đình lớn đều trình bày một địa chỉ duy nhất.

Xem các yêu cầu lấy mẫu của WAF và số liệu quy tắc dựa trên tốc độ trước khi đổ lỗi cho địa lý. Một quy tắc kích hoạt theo khối lượng yêu cầu của lối ra để lại dấu hiệu rõ ràng, và cũng cho bạn biết cách khắc phục là điều chỉnh giới hạn hay một đường ra khác.

Cần thay đổi gì, và theo thứ tự nào

Trước tiên hãy quyết định kiểm soát dùng để làm gì. Duy trì danh mục khu vực, hạn chế lạm dụng và thực thi hợp đồng là ba mục tiêu khác nhau, và chỉ mục tiêu đầu được giải quyết bằng danh sách quốc gia. Nếu mục tiêu là kiểm soát lạm dụng, lối ra là đơn vị nhận dạng sai, và không lượng danh sách cho phép nào khiến một địa chỉ dùng chung đáng tin cậy.

Nếu thực sự cần một địa chỉ ổn định cho danh sách cho phép, lối ra riêng hoặc tĩnh giúp ích vì địa chỉ có thể được đăng ký và không xoay. Nó không biến địa chỉ thành nhà ở, và không thay đổi quốc gia mà cơ sở dữ liệu GeoIP gán cho nó. Xoay lối ra cho đến khi một cái hoạt động là thay đổi danh tiếng tạm thời, không phải sửa chính sách.

Sau đó viết kết quả bằng các thuật ngữ mà người yêu cầu đã dùng: địa chỉ này bị chặn theo quốc gia, danh tiếng hoặc tốc độ, và đây là kiểm soát sẽ thay đổi. Bất cứ điều gì mơ hồ hơn sẽ mời lại đúng phiếu đó vào tuần sau với một lối ra khác.