Aceptar el acceso remoto por VPC exige pruebas de denegación

La aceptación del acceso remoto es una tabla de resultados esperados, no una captura de pantalla de una página que funciona. Para cada grupo, escriba qué debería funcionar y qué debería fallar, y luego ejecute ambas cosas con identidades de prueba dedicadas en una ventana controlada. Las denegaciones son la parte que demuestra el límite; un inicio de sesión correcto solo demuestra que el túnel existe. Todo esto funciona con el producto VPN ya elegido.

Use cuentas separadas para las pruebas y etiquételas de modo que nadie confunda una identidad de prueba con una excepción real.

Escriba el límite como resultados esperados

Empiece por los roles y no por los componentes: quién necesita qué servicio, desde dónde y con qué identidad. Tome una VPC ilustrativa: un grupo necesita el entorno de pruebas por HTTPS, otro necesita una base de datos de producción y un tercer grupo, más pequeño, administra la propia puerta de enlace. Cada fila recibe una autorización esperada y una denegación esperada, incluido el servicio vecino y la cuenta vecina que no deberían funcionar. Esa tabla es el criterio de aceptación, y las personas que no ejecutan las pruebas pueden revisarla.

Pruebe el inicio de sesión en la base de datos por separado de la ruta de red. Un puerto TCP accesible no debería hacer que una cuenta de base de datos no aprobada tenga éxito, y la pertenencia a la VPN no debería crear un rol IAM en la nube ni conceder acceso administrativo a la API. Son tres controles independientes, y fallan de forma independiente.

Una ruta no es autorización

Una ruta hace posible un camino; no otorga permiso. Retener una ruta es un sustituto débil de una restricción aplicada en el destino, ya que un cliente siempre puede añadir una ruta propia. El grupo de seguridad, la concesión de la base de datos y la propia autorización de la aplicación siguen siendo los controles que deciden. Cuando una prueba tenga éxito de forma inesperada, mire primero la política del destino y no la tabla de enrutamiento que pretendía que tuviera el cliente.

Por eso también las pruebas de denegación apuntan al lado del servidor: esos resultados no se pueden cambiar editando el cliente.

¿Qué origen ve realmente el control?

La dirección de origen que evalúa un control depende de la arquitectura de la puerta de enlace. Una puerta de enlace alojada en EC2 puede reenviar un grupo enrutado, traducirlo a su propia dirección o presentar otra dirección después del NAT; el Client VPN gestionado se asocia a una subred y sigue su propio modelo. Los grupos de seguridad y las ACL de red ven lo que llega después de ese procesamiento. Inspeccionar una regla con una suposición de origen incorrecta es una forma habitual de construir un límite que parece correcto y admite el tráfico equivocado.

Correlacione cada resultado con el evento útil más pequeño: identidad y sesión, recurso, operación, hora y la decisión. Una llamada a la API de CloudTrail, un registro de flujo de VPC y un registro de sesión VPN responden a preguntas distintas, y ninguno por sí solo es una auditoría de la aplicación.

Retire una identidad y vuelva a probarla

Incluya la retirada en la misma tabla. Elimine una identidad de prueba, confirme que se rechaza una sesión nueva y luego confirme por separado cómo se tratan las sesiones existentes, porque son comportamientos distintos con propietarios distintos. Compruebe qué ocurre tras reiniciar o sustituir la puerta de enlace, para que una excepción añadida a mano no desaparezca en silencio ni vuelva más amplia. Un límite que solo dura hasta el siguiente despliegue no es un límite.

Nada de esto sustituye el trabajo de parches, recuperación o ciclo de vida de las credenciales. Hace medible una promesa más estrecha: las personas correctas llegan a los servicios correctos, mientras que las rutas, cuentas y superficies de gestión cercanas quedan fuera de la concesión.

Mantenga la tabla junto con el despliegue y vuelva a ejecutarla cuando cambie la puerta de enlace. Las pruebas son baratas; las suposiciones que hay detrás, no.