AWS Cloudfront 黑名單，通過 VPN 訪問

Question

我正在設置 AWS Cloudfront Management。 我將世界上幾個國家（例如：中國）列入黑名單。 如果來自中國的人通過另一個國家使用 VPN，他們還能訪問嗎？ 黑名單是否可以防止通過 VPN 訪問？

Answer 1

從AWS 文檔：

CloudFront 使用第三方 GeoIP 數據庫確定用戶的位置。 IP 地址和國家/地區之間的映射精度因地區而異。 根據最近的測試，總體准確率為 99.8%。 如果 CloudFront 無法確定用戶的位置，CloudFront 會提供用戶請求的內容。

當用戶通過VPN訪問你的服務時，他們的真實IP是隱藏的，你看到的是服務器的IP。 因此，地理限制將大多無效。

您可以通過限制共享單個 IP 的離散會話的數量來在一定程度上減輕 VPN 的使用。 這可以（例如）通過Lambda@Edge和DynamoDB來實現。

Answer 2

補充@aymericbeaumet 的答案。 您還可以在 CloudFront 前設置WAF 。

在 WAF 中，您可以使用名為AWSManagedRulesAnonymousIpList 的AWS 托管規則規則組：

此規則組包含阻止來自允許混淆查看者身份的服務的請求的規則。 其中包括來自VPN 、代理、Tor 節點和托管服務提供商的請求。 如果您想要過濾掉可能試圖在您的應用程序中隱藏其身份的查看器，則此規則組很有用。 阻止這些服務的 IP 地址有助於緩解爬蟲程序和規避地理限制。