L-aċċettazzjoni tal-aċċess remot VPC teħtieġ testijiet ta’ rifjut

L-aċċettazzjoni tal-aċċess remot hija tabella ta’ riżultati mistennija, mhux screenshot ta’ paġna li taħdem. Għal kull grupp, ikteb x’għandu jirnexxi u x’għandu jfalli, imbagħad wettaq it-tnejn b’identitajiet tat-test iddedikati f’tieqa kkontrollata. Ir-rifjuti huma l-parti li tipprova l-konfini; login li jirnexxi jipprova biss li t-tunnel jeżisti. Dan kollu jaħdem mal-prodott VPN li diġà ntgħażel.

Uża kontijiet separati għat-testijiet, u ttikkettjahom sabiex ħadd ma jħawwad identità tat-test ma’ eċċezzjoni vera.

Ikteb il-konfini bħala riżultati mistennija

Ibda mir-rwoli u mhux mill-komponenti: min jeħtieġ liema servizz, minn fejn, u b’liema identità. Ħu VPC illustrattiv: grupp wieħed jeħtieġ l-ambjent tat-test permezz ta’ HTTPS, ieħor jeħtieġ bażi tad-dejta tal-produzzjoni, u terz grupp iżgħar jamministra l-gateway innifsu. Kull ringiela tikseb permess mistenni u rifjut mistenni, inkluż is-servizz ġirien u l-kont ġirien li m’għandhomx jaħdmu. Dik it-tabella hija l-kriterju tal-aċċettazzjoni, u n-nies li ma jmexxux it-testijiet jistgħu jirreveduha.

Ittestja l-login tal-bażi tad-dejta separatament mill-passaġġ tan-netwerk. Port TCP li jista’ jintlaħaq m’għandux jagħmel kont tal-bażi tad-dejta mhux approvat jirnexxi, u s-sħubija fil-VPN m’għandhiex toħloq rwol IAM fil-cloud jew tagħti aċċess amministrattiv għall-API. Dawn huma tliet kontrolli indipendenti, u jonqsu b’mod indipendenti.

Rotta mhijiex awtorizzazzjoni

Rotta tagħmel passaġġ possibbli; ma tagħtix permess. Iż-żamma ta’ rotta hija sostitut dgħajjef għal restrizzjoni infurzata fid-destinazzjoni, għax klijent dejjem jista’ jżid rotta tiegħu. Il-grupp tas-sigurtà, il-għotja tal-bażi tad-dejta u l-awtorizzazzjoni tal-applikazzjoni nnifisha jibqgħu l-kontrolli li jiddeċiedu. Meta test jirnexxi b’mod mhux mistenni, ħares l-ewwel lejn il-politika tad-destinazzjoni u mhux lejn it-tabella tar-routing li inti ridt li jkollu l-klijent.

Huwa għalhekk li t-testijiet tar-rifjut jimmiraw lejn in-naħa tas-server: dawk ir-riżultati ma jistgħux jinbidlu billi tiġi editjata l-klijent.

Liema sors il-kontroll fil-fatt jara?

L-indirizz tas-sors li jevalwa kontroll jiddependi mill-arkitettura tal-gateway. Gateway ospitat fuq EC2 jista’ jibgħat pool routjat, jittraduċih fl-indirizz tiegħu stess jew jippreżenta indirizz differenti wara NAT; Client VPN immaniġġjat jgħaqqad ma’ subnet u jsegwi l-mudell tiegħu. Il-gruppi tas-sigurtà u l-ACL tan-netwerk jaraw dak kollu li jasal wara dak l-ipproċessar. L-ispezzjoni ta’ regola b’suppożizzjoni tas-sors żbaljata hija mod komuni kif tinbena konfini li tidher korretta u tammetti traffiku żbaljat.

Qabbad kull riżultat mal-iżgħar avveniment utli: identità u sessjoni, riżorsa, operazzjoni, ħin u d-deċiżjoni. Sejħa API f’CloudTrail, rekord tal-fluss VPC u log tas-sessjoni VPN iwieġbu mistoqsijiet differenti, u ħadd minnhom waħdu mhu verifika tal-applikazzjoni.

Irrevoka identità u erġa’ ttestjaha

Inkludi r-revoka fl-istess tabella. Neħħi identità tat-test, ikkonferma li sessjoni ġdida tiġi rrifjutata, imbagħad ikkonferma separatament kif jiġu trattati s-sessjonijiet eżistenti, għax dawn huma imġiba differenti b’sidien differenti. Iċċekkja x’jiġri wara li l-gateway jerġa’ jinbeda jew jiġi sostitwit, sabiex eċċezzjoni miżjuda bl-idejn ma titlifx fis-skiet jew ma terġax tiġi iktar wiesgħa. Konfini li jdum biss sal-iskjerament li jmiss mhuwiex konfini.

Xejn minn dan ma jissostitwixxi x-xogħol fuq patteċċjar, irkupru jew iċ-ċiklu tal-ħajja tal-kredenzjali. Dan jagħmel wegħda iktar dejqa li tista’ titkejjel: in-nies it-tajba jaslu għas-servizzi t-tajba, filwaqt li rotot, kontijiet u uċuħ tal-immaniġġjar fil-qrib jibqgħu barra mill-għotja.

Żomm it-tabella mal-iskjerament u erġa’ ħaddimha meta l-gateway jinbidel. It-testijiet huma rħas; is-suppożizzjonijiet warajhom mhumiex.