AWS Cloudfront 黑名单，通过 VPN 访问

Question

我正在设置 AWS Cloudfront Management。 我将世界上几个国家（例如：中国）列入黑名单。 如果来自中国的人通过另一个国家使用 VPN，他们还能访问吗？ 黑名单是否可以防止通过 VPN 访问？

Answer 1

从AWS 文档：

CloudFront 使用第三方 GeoIP 数据库确定用户的位置。 IP 地址和国家/地区之间的映射精度因地区而异。 根据最近的测试，总体准确率为 99.8%。 如果 CloudFront 无法确定用户的位置，CloudFront 会提供用户请求的内容。

当用户通过VPN访问你的服务时，他们的真实IP是隐藏的，你看到的是服务器的IP。 因此，地理限制将大多无效。

您可以通过限制共享单个 IP 的离散会话的数量来在一定程度上减轻 VPN 的使用。 这可以（例如）通过Lambda@Edge和DynamoDB来实现。

Answer 2

补充@aymericbeaumet 的答案。 您还可以在 CloudFront 前设置WAF 。

在 WAF 中，您可以使用名为AWSManagedRulesAnonymousIpList 的AWS 托管规则规则组：

此规则组包含阻止来自允许混淆查看者身份的服务的请求的规则。 其中包括来自VPN 、代理、Tor 节点和托管服务提供商的请求。 如果您想要过滤掉可能试图在您的应用程序中隐藏其身份的查看器，则此规则组很有用。 阻止这些服务的 IP 地址有助于缓解爬虫程序和规避地理限制。