Mae derbyn mynediad o bell VPC yn gofyn am brofion gwrthod

Tabl o ganlyniadau disgwyliedig yw derbyn mynediad o bell, nid sgrinlun o dudalen sy'n gweithio. Ar gyfer pob grŵp, ysgrifennwch beth ddylai lwyddo a beth ddylai fethu, ac yna rhedwch y ddau yn erbyn hunaniaethau prawf penodol mewn ffenestr reoledig. Y gwrthodiadau yw'r rhan sy'n profi'r ffin; dim ond bod y twnnel yn bodoli y mae mewngofnodiad llwyddiannus yn ei brofi. Mae hyn i gyd yn gweithio gyda'r cynnyrch VPN sydd eisoes wedi'i ddewis.

Defnyddiwch gyfrifon ar wahân ar gyfer y profion, a'u labelu fel na fydd neb yn camgymryd hunaniaeth prawf am eithriad go iawn.

Ysgrifennwch y ffin fel canlyniadau disgwyliedig

Dechreuwch gyda'r rolau yn hytrach na'r cydrannau: pwy sydd angen pa wasanaeth, o ble, ac â pha hunaniaeth. Cymerwch VPC enghreifftiol: mae angen cyfrwng prawf dros HTTPS ar un grŵp, mae arall angen cronfa ddata gynhyrchu, ac mae trydydd grŵp llai yn gweinyddu'r porth ei hun. Mae pob rhes yn cael caniatâd disgwyliedig a gwrthodiad disgwyliedig, gan gynnwys y gwasanaeth cyfagos a'r cyfrif cyfagos na ddylai weithio. Y tabl hwnnw yw'r maen prawf derbyn, a gall pobl nad ydynt yn rhedeg y profion ei adolygu.

Profwch fewngofnodi i'r gronfa ddata ar wahân i'r llwybr rhwydwaith. Ni ddylai porth TCP y gellir ei gyrraedd beri bod cyfrif cronfa ddata heb ei gymeradwyo yn llwyddo, ac ni ddylai aelodaeth VPN greu rôl IAM cwmwl na rhoi mynediad gweinyddol i API. Tair rheolydd annibynnol yw'r rhain, ac maent yn methu'n annibynnol.

Nid yw llwybr yn awdurdodiad

Mae llwybr yn gwneud llwybr yn bosibl; nid yw'n rhoi caniatâd. Mae atal llwybr yn ddirprwy wan am gyfyngiad a orfodir yn y gyrchfan, oherwydd gall cleient ychwanegu ei lwybr ei hun bob amser. Y grŵp diogelwch, y grant cronfa ddata ac awdurdodiad yr ap ei hun yw'r rheolyddion sy'n penderfynu o hyd. Pan fydd prawf yn llwyddo'n annisgwyl, edrychwch yn gyntaf ar bolisi'r gyrchfan yn hytrach na'r tabl llwybro yr oeddech am i'r cleient ei gael.

Dyna hefyd pam mae'r profion gwrthod yn targedu ochr y gweinydd: ni ellir newid y canlyniadau hynny trwy olygu'r cleient.

Pa ffynhonnell y mae'r rheolydd yn ei gweld mewn gwirionedd?

Mae'r cyfeiriad ffynhonnell y mae rheolydd yn ei werthuso yn dibynnu ar bensaernïaeth y porth. Gall porth sy'n cael ei gynnal ar EC2 anfon pwll llwybro ymlaen, ei gyfieithu i'w gyfeiriad ei hun, neu gyflwyno cyfeiriad gwahanol ar ôl NAT; mae Client VPN a reolir yn cysylltu â subnwyd ac yn dilyn ei fodel ei hun. Mae grwpiau diogelwch a rhestr ACL y rhwydwaith yn gweld beth bynnag sy'n cyrraedd ar ôl y prosesu hwnnw. Mae archwilio rheol yn erbyn y dybiaeth ffynhonnell anghywir yn ffordd gyffredin o adeiladu ffin sy'n edrych yn gywir ac yn derbyn y traffig anghywir.

Cysylltwch bob canlyniad â'r digwyddiad defnyddiol lleiaf: hunaniaeth a sesiwn, adnodd, gweithrediad, amser a'r penderfyniad. Mae galwad API CloudTrail, cofnod llif VPC a log sesiwn VPN yn ateb cwestiynau gwahanol, ac nid yw'r un ohonynt ar ei ben ei hun yn archwiliad o'r ap.

Tynnwch hunaniaeth yn ôl a'i phrofi eto

Cynhwyswch y tynnu'n ôl yn yr un tabl. Tynnwch hunaniaeth prawf, cadarnhewch fod sesiwn newydd yn cael ei gwrthod, ac yna cadarnhewch ar wahân sut y caiff sesiynau presennol eu trin, oherwydd ymddygiadau gwahanol â pherchnogion gwahanol yw'r rheini. Gwiriwch beth sy'n digwydd ar ôl ailgychwyn neu amnewid y porth, fel nad yw eithriad a ychwanegwyd â llaw yn diflannu'n dawel nac yn dychwelyd yn ehangach. Nid yw ffin sy'n para hyd at y defnyddiad nesaf yn ffin.

Nid yw hyn yn disodli gwaith clytio, adfer na chylch bywyd cymwysterau. Mae'n gwneud addewid iau yn fesuradwy: mae'r bobl iawn yn cyrraedd y gwasanaethau iawn, tra bo llwybrau, cyfrifon ac arwynebau rheoli cyfagos yn aros y tu allan i'r grant.

Cadwch y tabl gyda'r defnyddiad a'i ailredeg pan fydd y porth yn newid. Mae'r profion yn rhad; nid yw'r dybiaethau y tu ôl iddynt.