Праверце, што ваш проксі не адкрыты для ўсіх
Перад адкрыццём прамога проксі праверце слухач, парадак правіл, уліковыя даныя і сапраўднае перанакіраванне з дазволеных і забароненых крыніц.
Праверце мяжу доступу да адкрыцця новага прамога проксі іншым сеткам. Паспяховы запыт з самога сервера амаль нічога не даказвае пра магчымасці старонняга кліента. Выкарыстоўвайце кантраляванае прызначэнне, каб вызначыць, ці быў забаронены запыт сапраўды перанакіраваны.
Праверце дзейны слухач і палітыку
Даследуйце працэс і адрасы праслухоўвання, уключаючы IPv6, калі ўключаны. Прыбярыце ненаўмысныя дадатковыя слухачы ці старыя асобнікі сэрвісу. Абмяжуйце міжсеткавы экран крыніцамі, якія павінны дасягаць сэрвісу.
Затым праверце сапраўды загружаную канфігурацыю, уключаючы падлучаныя файлы. У Squid 6 ранейшы дазвол можа абясцэніць пазнейшае абмежаванне. У Tinyproxy 1.11.2 выдаленне ўсіх радкоў Allow і Deny дазваляе ўсіх кліентаў. Dante мае асобныя кліенцкія і SOCKS-правілы, таму дазвол TCP-злучэння — не ўся палітыка.
Выкарыстоўвайце дакументацыю ўсталяванай версіі. Змены дырэктыў Squid 8 — прычына праверыць версію, а не лічыць, што знаёмую канфігурацыю прынялі з тым самым сэнсам.
Праверце дазволеныя і забароненыя выпадкі
Калі проксі мусіць адначасова патрабаваць ухваленую крыніцу і ўваход, выканайце гэтую матрыцу на падкантрольных сістэмах:
| Крыніца | Уліковыя даныя | Патрэбны вынік |
|---|---|---|
| Дазволеная | Сапраўдныя | Прызначэнне атрымлівае запыт. |
| Дазволеная | Адсутныя ці памылковыя | Прызначэнне не дасягнута. |
| Не дазволеная | Сапраўдныя ці адсутныя | Прызначэнне не дасягнута. |
Дзве прылады за адным NAT могуць выглядаць адной крыніцай. Выберыце месцы праверкі з рознымі зыходнымі адрасамі ў проксі і пацвердзіце іх у журнале. Не выкарыстоўвайце староннія чужыя машыны і не скануйце чужыя сэрвісы.
Забарона міжсеткавага экрана можа наогул не даць HTTP-адказу; адмова праграмы можа вярнуць памылку. У абодвух выпадках праверце, што кантраляваная мэта не атрымала забароненага запыту: адну старонку памылкі можна зблытаць з адказам прызначэння.
Праверце рэжымы перанакіравання, якія хочаце дазволіць
Для вэб-проксі асобна праверце звычайны HTTP-запыт і дазволены шлях HTTPS CONNECT. Калі палітыка абмяжоўвае прызначэнні, праверце дазволенае і кантраляванае прызначэнне, якое мусіць быць адхілена. Не прыбірайце кантроль толькі дзеля поспеху ўсіх тэстаў.
Паўтарайце праверкі пасля змен дыяпазонаў крыніц, уліковых даных, адрасоў слухачоў, падлучаных файлаў ці версій сэрвісу. Захоўвайце час тэста, версію канфігурацыі і вынікі разам для параўнання будучых змен з той жа мяжой.
Гэта працэдура прыёмкі, а не сцверджанне, што парсер канфігурацыі ці адзін запыт даказваюць закрыццё ўсіх сеткавых шляхоў.