VPC-Fernzougrëff akzeptéieren verlaangt Verweigerungstester

D'Akzeptanz vum Fernzougrëff ass eng Tabell vun erwaarten Resultater, net e Screenshot vun enger funktionéierender Säit. Fir all Grupp schreift Dir op, wat geléngt a wat soll feelen, an dann féiert Dir béides mat eegene Testidentitéiten an engem kontrolléierte Fënster aus. D'Verweigerunge sinn deen Deel, deen d'Grenz beweist; eng erfollegräich Login beweist nëmmen, datt den Tunnel existéiert. Dat alles funktionéiert mam VPN-Produkt, dat schonn ausgewielt gouf.

Benotzt getrennte Konten fir d'Tester a markéiert se esou, datt keen eng Testidentitéit mat enger richtege Ausnam verwiesselt.

Schreift d'Grenz als erwaart Resultater op

Fänkt mat den Rollen un an net mat de Komponenten: wien brauch wéi en Service, vu wou, a mat wéi enger Identitéit. Hëlt eng illustrativ VPC: eng Grupp brauch d'Testëmgebung iwwer HTTPS, eng aner brauch eng Produktiounsdatebank, an eng drëtt a méi kleng Grupp administréiert de Gateway selwer. All Zeil kritt eng erwaart Erlaabnes an eng erwaart Verweigerung, inklusiv den Nopeschservice an de Nopeschkonto, déi net sollte funktionéieren. Déi Tabell ass d'Akzeptanzkriterium, a Leit, déi d'Tester net ausféieren, kënnen se duerchgoen.

Test de Datebank-Login getrennt vum Netzwierkpad. En erreechbaren TCP-Port soll keen net guttgeheescht Datebankkonto erfollegräich maachen, an eng VPN-Memberschaft soll keng Cloud-IAM-Roll erstellen oder administrativen API-Zougrëff ginn. Dat sinn dräi onofhängeg Kontrollen, an se feelen onofhängeg.

Eng Route ass keng Autorisatioun

Eng Route mécht en Pad méiglech; se gëtt keng Erlaabnes. Eng Route zeréckzehalen ass en schwache Ersatz fir eng Restriktioun, déi um Zil duerchgesat gëtt, well e Client ëmmer seng eegen Route ka bäifügen. D'Sécherheetsgrupp, d'Datebankerlaabnes an d'Autorisatioun vun der Applikatioun selwer bleiwen d'Kontrollen, déi entscheeden. Wann en Test onerwaart geléngt, kuckt éischt op d'Politik vum Zil an net op d'Routingstabell, déi Dir dem Client geduecht hutt.

Dofir zielen d'Verweigerungstester op d'Serversäit: déi Resultater kënnen net geännert ginn, andeems een de Client editéiert.

Wéi eng Quell gesäit d'Kontroll tatsächlech?

D'Quelladress, déi eng Kontroll evaluéiert, hänkt vun der Gateway-Architektur of. En Gateway, deen op EC2 gehost gëtt, ka en geroutete Pool viruleeden, op seng eegen Adress iwwersetzen oder no NAT eng aner Adress presentéieren; e verwalteten Client VPN verbënnt sech mat engem Subnetz a follegt sengem eegene Modell. Sécherheetsgruppen an Netzwierk-ACLen gesinn, wat no där Veraarbechtung ukommt. Eng Regel géint déi falsch Quellannahm ze préiwen ass e übleche Wee, eng Grenz ze bauen, déi korrekt ausgesäit an de falschen Trafik erlaabt.

Korreléiert all Resultat mat dem klengsten nëtzlechen Evenement: Identitéit a Sessioun, Ressource, Operatioun, Zäit an d'Entscheedung. En CloudTrail-API-Opruff, en VPC-Flow-Record an e VPN-Sessiounslog beäntweren ënnerschiddlech Froen, an keen dovun eleng ass en Applikatiounsaudit.

Zitt eng Identitéit zréck a test se nach eng Kéier

Huet d'Zeréckzéien an déiselwecht Tabell op. Entfernt eng Testidentitéit, bestätegt, datt eng nei Sessioun refuséiert gëtt, a bestätegt dann getrennt, wéi mat existéierende Sessioune ëmgaange gëtt, well dat ënnerschiddlech Verhalen mat ënnerschiddlechen Eegentümer sinn. Préift, wat no engem Neistart oder Austausch vum Gateway geschitt, sou datt eng vun Hand bäigefüügt Ausnam net stëll verschwënnt oder méi breet zréckkënnt. Eng Grenz, déi nëmmen bis zum nächsten Deploiement hält, ass keng Grenz.

Näischt dovun ersetzt d'Aarbecht un Patches, Erhuelung oder dem Liewenszyklus vun de Umeldungsinformatiounen. Et mécht en enke Verspriechen moossbar: déi richteg Leit erreechen déi richteg Servicer, wärend no Routes, Konten an Administratiounsoberfläche baussen der Erlaabnes bleiwen.

Halt d'Tabell beim Deploiement a féiert se nach eng Kéier aus, wann de Gateway sech ännert. D'Tester si bëlleg; d'Annahme hannendrun net.