Проверете, че проксито ви не е отворено за всички
Преди да направите препращащо прокси достъпно отвън, проверете слушателя, реда на правилата, данните за вход и реалното препращане от разрешени и забранени източници.
Тествайте границата на достъп преди ново препращащо прокси да стане достижимо от други мрежи. Успешна заявка от самия сървър доказва малко за възможностите на външен клиент. Използвайте контролирана цел, за да разберете дали отказана заявка е била реално препратена.
Проверете ефективния слушател и политика
Прегледайте слушащия процес и адресите, включително IPv6, ако е включен. Премахнете неволни допълнителни слушатели или стари инстанции. Ограничете мрежовата защитна стена до източниците, които трябва да достигат услугата.
След това прегледайте реално заредената конфигурация, включително включените файлове. В Squid 6 по-ранно разрешение може да обезсмисли по-късно ограничение. В Tinyproxy 1.11.2 премахването на всички редове Allow и Deny разрешава всички клиенти. Dante има отделни клиентски и SOCKS правила, затова приемането на TCP връзката не е цялата политика.
Използвайте документацията на инсталираната версия. Промените на директивите в Squid 8 са причина да проверите версията, не да приемете, че позната конфигурация е приета със същото значение.
Тествайте разрешените и отказаните случаи
За прокси, което трябва да изисква одобрен източник и вход с данни, изпълнете тази матрица с контролирани от вас системи:
| Източник | Данни за вход | Изискван резултат |
|---|---|---|
| Разрешен | Валидни | Предвидената цел получава заявката. |
| Разрешен | Липсващи или грешни | Целта не се достига. |
| Неразрешен | Валидни или липсващи | Целта не се достига. |
Две устройства зад един NAT могат да изглеждат като един източник. Изберете тестови места с различни адреси при проксито и ги потвърдете в журналите. Не използвайте чужди несвързани машини и не сканирайте чужди услуги.
Отказ на защитна стена може да няма никакъв HTTP отговор; отказ на приложението може да върне грешка. И в двата случая проверете, че контролираната цел не е получила забранената заявка: само страницата за грешка може да се обърка с отговор на целта.
Упражнете режимите на препращане, които ще разрешавате
За уеб прокси тествайте отделно обикновен HTTP и разрешения HTTPS CONNECT път. Ако политиката ограничава цели, тествайте разрешена и контролирана цел, която трябва да бъде отхвърлена. Не махайте контрола само за да успее всеки тест.
Повторете след промени в източниците, данните за вход, адресите на слушане, включените файлове или версиите. Пазете заедно час на теста, версия на конфигурацията и резултати, за да проверявате бъдещи промени спрямо същата граница.
Това е приемателна процедура, не твърдение, че анализатор на конфигурация или една заявка доказват затварянето на всеки мрежов път.