Які IP дазволіць на проксі-серверы?
Дазваляйце крыніцу, якую сапраўды бачыць проксі. Прыватны LAN-адрас ноўтбука звычайна не з’яўляецца яго публічнай крыніцай аддаленага злучэння.
Выкарыстоўвайце адрас крыніцы, які проксі бачыць на ўваходным злучэнні. Wi-Fi-адрас ноўтбука не абавязкова супадае з ім.
Напрыклад, ноўтбук з прыватным адрасам 192.168.1.20 можа звяртацца да аддаленага проксі праз NAT-маршрутызатар. Проксі звычайна бачыць ператвораны публічны адрас, таму правіла для прыватнага адраса ноўтбука не супадзе. На прыватным шляху, які захоўвае адрас, той самы прыватны адрас цалкам можа быць правільным для правіла.
Пацвердзіце назіранне на ўваходнай мяжы проксі: праверце журнал злучэнняў або доступу, калі кіруеце ім, ці выкарыстоўвайце дакументаваны спосаб кіраванага сэрвісу даведацца адрас кліента. Старонка праверкі IP ў браўзеры дае толькі кантэкст, бо можа ісці іншым маршрутам. Правярайце сапраўдныя праграму і шлях; іншы проксі, VPN або змена сеткі могуць змяніць крыніцу.
Некалькі прылад могуць дзяліць адзін ператвораны адрас. IP-правіла вызначае сеткавую крыніцу, не асобнага карыстальніка, таму вырашыце і патрэбу аўтэнтыфікацыі. Пры змене крыніцы прадугледзьце падтрыманае абнаўленне або палітыку аўтэнтыфікацыі замест адкрыцця сэрвісу ўсім адрасам.
Ужываючы правіла, праверце яго пазіцыю і выніковую тыповую забарону ва ўсталяванай версіі проксі, затым праверце дазволеныя і забароненыя крыніцы. Напрыклад, парадак доступу Squid можа зрабіць пазнейшае абмежаванне бессэнсоўным. Дазволы крыніцы і прызначэння/порта застаюцца асобнымі рашэннямі: правільны адрас кліента не патрабуе дазваляць усе прызначэнні.