Maak seker jou proxy is nie vir almal oop nie
Kontroleer luisteraar, reëlvolgorde, aanmeldbesonderhede en werklike aanstuur vanaf toegelate en geweierde bronne voordat jy ’n voorwaartse proxy blootstel.
Toets die toegangsgrens voordat ’n nuwe voorwaartse proxy van ander netwerke af bereikbaar word. ’n Suksesvolle versoek vanaf die bediener self bewys min oor wat ’n buitestaander kan doen. Gebruik ’n beheerde bestemming om vas te stel of ’n geweierde versoek tog aangestuur is.
Kontroleer die effektiewe luisteraar en beleid
Ondersoek die luisterende proses en adresse, ook IPv6 indien geaktiveer. Verwyder onbedoelde ekstra luisteraars of ou diensinstansies. Beperk die netwerkbrandmuur tot bronne wat die diens behoort te bereik.
Ondersoek daarna die konfigurasie wat werklik gelaai is, insluitend ingeslote lêers. In Squid 6 kan ’n vroeëre toelating ’n latere beperking irrelevant maak. In Tinyproxy 1.11.2 laat die verwydering van alle Allow- en Deny-reëls alle kliënte toe. Dante het afsonderlike kliënt- en SOCKS-reëls, dus is die aanvaarding van TCP nie die hele beleid nie.
Gebruik die geïnstalleerde weergawe se dokumentasie. Squid 8 se instruksieveranderinge is ’n rede om die weergawe te kontroleer, nie om te aanvaar ’n bekende konfigurasie is met dieselfde betekenis aanvaar nie.
Toets toegelate en geweierde gevalle
As die proxy sowel ’n goedgekeurde bron as aanmelding moet vereis, voer hierdie matriks uit met stelsels wat jy beheer:
| Bron | Aanmeldbesonderhede | Vereiste uitkoms |
|---|---|---|
| Toegelaat | Geldig | Die beoogde bestemming ontvang die versoek. |
| Toegelaat | Ontbreek of verkeerd | Die bestemming word nie bereik nie. |
| Nie toegelaat nie | Geldig of ontbreek | Die bestemming word nie bereik nie. |
Twee toestelle agter een NAT kan as dieselfde bron verskyn. Kies toetsplekke met verskillende bronadresse by die proxy en bevestig dit in die logs. Moenie onverwante derdepartyrekenaars gebruik of ander mense se dienste skandeer nie.
’n Brandmuurweiering kan geen HTTP-antwoord gee nie; ’n toepassingsweiering kan ’n fout teruggee. Bevestig in albei gevalle dat die beheerde bestemming nie die verbode versoek ontvang het nie; ’n foutbladsy alleen kan anders met ’n bestemmingsantwoord verwar word.
Toets die aanstuurmodusse wat jy wil toelaat
Toets by ’n webproxy gewone HTTP en die toegelate HTTPS CONNECT-pad afsonderlik. As die beleid bestemmings beperk, toets ’n toegelate bestemming en ’n beheerde een wat geweier moet word. Moenie beheermaatreëls verwyder bloot om elke toets te laat slaag nie.
Toets weer ná veranderinge aan bronreekse, aanmeldbesonderhede, luisteradresse, ingeslote lêers of diensweergawes. Hou toetstyd, konfigurasieweergawe en uitslae bymekaar om latere veranderinge teen dieselfde grens te toets.
Dit is ’n aanvaardingsprosedure, nie ’n bewering dat ’n konfigurasieontleder of een versoek kan bewys elke netwerkpad is gesluit nie.