Tagong ta VPC op ôfstân akseptearje freget wegeringstests

Akseptaasje fan tagong op ôfstân is in tabel fan ferwachte útkomsten, net in skermprint fan in wurkjende side. Skriuw foar elke groep wat slagje moat en wat mislearje moat, en fier beide dan út tsjin spesjale testidentiteiten yn in kontrolearre tiidfinster. De wegeringen binne it diel dat de grins bewissiget; in slagge oanmelding bewissiget allinnich dat de tunnel bestiet. Dit alles wurket mei it VPN-produkt dat al keazen is.

Brûk aparte akkounts foar de tests en label se sa dat nimmen in testidentiteit mei in echte útsûndering betiizget.

Skriuw de grins as ferwachte resultaten

Begjin by de rollen yn stee fan de komponinten: wa hat hokker tsjinst nedich, fan wêr, en mei hokker identiteit. Nim in foarbyld-VPC: ien groep hat de testomjouwing fia HTTPS nedich, in oare hat in produksjedatabank nedich, en in tredde en lytsere groep beheart de poarte sels. Elke rige krijt in ferwachte tastimming en in ferwachte wegering, ynklusyf de oanbuorjende tsjinst en it oanbuorjende akkount dat net wurkje moat. Dy tabel is it akseptaasjekritearium, en minsken dy't de tests net útfiere kinne it neisjen.

Test de databankoanmelding apart fan it netwurkpaad. In berikbere TCP-poarte moat in net goedkard databankakkount net slagje litte, en VPN-lidmaatskip moat gjin wolk-IAM-rol meitsje of administratyf API-tagong jaan. Dat binne trije ûnôfhinklike kontrôles, en se mislearje ûnôfhinklik.

In rûte is gjin autorisaasje

In rûte makket in paad mooglik; se jout gjin tastimming. In rûte efterhâlde is in swak ferfanging foar in beheining dy't by de bestimming hanthavene wurdt, want in klant kin altyd syn eigen rûte tafoegje. De feiligensgroep, de databanktastimming en de eigen autorisaasje fan 'e applikaasje bliuwe de kontrôles dy't beslute. As in test ûnferwachts slagget, sjoch dan earst nei it belied fan 'e bestimming en net nei de rûtetabel dy't jo de klant jaan woenen.

Dêrom rjochtsje de wegeringstests har op 'e tsjinnerside: dy resultaten kinne net feroare wurde troch de klant te bewurkjen.

Hokker boarne sjocht de kontrôle eins?

It boarne-adres dat in kontrôle beoardielet hinget ôf fan 'e poartearsjitektuer. In poarte op EC2 kin in rûtearre poel trochstjoere, nei syn eigen adres oersette of nei NAT in oar adres foarheakje; beheard Client VPN ferbynt mei in subnet en folget syn eigen model. Feiligensgroepen en netwurk-ACL's sjogge wat neffens dy ferwurking oankomt. In regel besjen tsjin de ferkearde oanname oer de boarne is in gewoane manier om in grins te bouwen dy't korrekt liket en ferkeard ferkear talit.

Korrelearje elk resultaat mei it lytste nuttige barren: identiteit en sesje, boarne, bewurking, tiid en it beslút. In CloudTrail-API-oprop, in VPC-streamrecord en in VPN-sesjeloch beantwurdzje ferskillende fragen, en gjinien allinnich is in applikaasje-audit.

Lûk in identiteit werom en test it opnij

Nim it weromlûken op yn deselde tabel. Ferwiderje in testidentiteit, befêstigje dat in nije sesje wegere wurdt, en befêstigje dan apart hoe besteande sesjes behannele wurde, want dat binne ferskillende gedrachten mei ferskillende eigners. Kontrolearje wat der bart nei in werstart of ferfanging fan 'e poarte, sadat in mei de hân tafoege útsûndering net stil ferdwynt of breder weromkomt. In grins dy't allinnich oant de folgjende útrol duorret, is gjin grins.

Neat hjirfan ferfangt it wurk oan patches, werstel of de libbenssyklus fan bewiisstikken. It makket in smeller belofte mjitber: de juste minsken berikke de juste tsjinsten, wylst tichtbye rûtes, akkounts en behearoerflakken bûten de tastimming bliuwe.

Hâld de tabel by de útrol en fyn it opnij út as de poarte feroaret. De tests binne goedkeap; de oannames dêrefter net.