VPC қашықтан қатынауын қабылдау бас тарту тесттерін талап етеді

Қашықтан қатынауды қабылдау — күтілетін нәтижелер кестесі, жұмыс істейтін беттің скриншоты емес. Әр топ үшін не сәтті болуы және не сәтсіз болуы керектігін жазыңыз, содан кейін екеуін де бақыланатын терезеде арнайы сынақ сәйкестіктерімен іске қосыңыз. Шекараны дәлелдейтін бөлік — бас тартулар; сәтті кіру туннельдің бар екенін ғана дәлелдейді. Мұның бәрі бұрын таңдалған VPN өнімімен жұмыс істейді.

Сынақтар үшін жеке тіркелгілерді пайдаланыңыз және оларды сынақ сәйкестігін нақты ерекшелікпен шатастырмайтындай белгілеңіз.

Шекараны күтілетін нәтижелер ретінде жазыңыз

Компоненттерден емес, рөлдерден бастаңыз: кімге қай қызмет, қайдан және қандай сәйкестікпен қажет. Мысал VPC алыңыз: бір топқа HTTPS арқылы сынақ ортасы қажет, екіншісіне өндірістік дерекқор қажет, ал үшінші және кішірек топ шлюздің өзін басқарады. Әр жол күтілетін рұқсат пен күтілетін бас тартуды алады, соның ішінде жұмыс істемеуі тиіс көршілес қызмет пен көршілес тіркелгі. Сол кесте қабылдау өлшемшарты болып табылады және тесттерді орындамайтын адамдар да оны қарап шыға алады.

Дерекқорға кіруді желі жолынан бөлек тексеріңіз. Қолжетімді TCP порты мақұлданбаған дерекқор тіркелгісін сәтті етпеуі керек, ал VPN мүшелігі бұлттық IAM рөлін жасамауы немесе әкімшілік API қатынауын бермеуі керек. Бұл үш тәуелсіз бақылау және олар тәуелсіз түрде сәтсіз болады.

Маршрут — авторизация емес

Маршрут жолды мүмкін етеді; ол рұқсат бермейді. Маршрутты жасыру — тағайындалған жерде қолданылатын шектеудің әлсіз орнын басушысы, өйткені клиент әрқашан өз маршрутын қоса алады. Қауіпсіздік тобы, дерекқор рұқсаты және қолданбаның өз авторизациясы шешетін бақылаулар болып қалады. Сынақ күтпеген жерден сәтті болса, алдымен тағайындалған жердің саясатына қараңыз, клиентте болуын көздеген маршруттау кестесіне емес.

Сондықтан бас тарту тесттері сервер жағына бағытталған: бұл нәтижелерді клиентті өңдеу арқылы өзгертуге болмайды.

Бақылау шын мәнінде қай дереккөзді көреді?

Бақылау бағалайтын дереккөз мекенжайы шлюз архитектурасына байланысты. EC2-де орналасқан шлюз маршрутталған пулды жібере алады, оны өз мекенжайына аудара алады немесе NAT-тан кейін басқа мекенжай ұсына алады; басқарылатын Client VPN ішкі желіге қосылып, өз моделін ұстанады. Қауіпсіздік топтары мен желілік ACL осы өңдеуден кейін келетін нәрсені көреді. Ережені дұрыс емес дереккөз болжамымен тексеру — дұрыс көрінетін және қате трафикті өткізетін шекара құрудың кең тараған жолы.

Әр нәтижені ең кіші пайдалы оқиғамен байланыстырыңыз: сәйкестік пен сессия, ресурс, әрекет, уақыт және шешім. CloudTrail API шақыруы, VPC ағын жазбасы және VPN сессия журналы әртүрлі сұрақтарға жауап береді және олардың ешқайсысы жалғыз өзі қолданба аудиті емес.

Сәйкестікті кері қайтарып, қайта тексеріңіз

Кері қайтаруды сол кестеге қосыңыз. Сынақ сәйкестігін жойыңыз, жаңа сессияның қабылданбағанын растаңыз, содан кейін қолданыстағы сессияларға қалай қарайтынын бөлек растаңыз, өйткені бұл әртүрлі иелері бар әртүрлі мінез-құлықтар. Шлюз қайта іске қосылғаннан немесе ауыстырылғаннан кейін не болатынын тексеріңіз, қолмен қосылған ерекшелік үнсіз жоғалып кетпес үшін немесе кеңірек қайта оралмас үшін. Тек келесі орналастыруға дейін созылатын шекара шекара емес.

Осының ешқайсысы патчтау, қалпына келтіру немесе тіркелгі деректерінің өмірлік циклі жұмысын алмастырмайды. Ол тар міндеттемені өлшенетін етеді: дұрыс адамдар дұрыс қызметтерге жетеді, ал жақын маршруттар, тіркелгілер және басқару беттері рұқсаттан тыс қалады.

Кестені орналастырумен бірге сақтаңыз және шлюз өзгергенде қайта іске қосыңыз. Тесттер арзан; олардың артындағы болжамдар арзан емес.