Provjerite da proxy nije otvoren svima
Prije izlaganja izlaznog proxyja provjerite osluškivač, redoslijed pravila, pristupne podatke i stvarno prosljeđivanje iz dozvoljenih i odbijenih izvora.
Testirajte granicu pristupa prije nego novi izlazni proxy bude dostupan drugim mrežama. Uspješan zahtjev sa samog servera malo dokazuje o mogućnostima nepovezanog klijenta. Koristite kontrolisano odredište da utvrdite je li odbijeni zahtjev zaista proslijeđen.
Provjerite stvarni osluškivač i politiku
Pregledajte proces i adrese za osluškivanje, uključujući IPv6 ako je uključen. Uklonite nenamjerne dodatne osluškivače ili stare instance usluge. Mrežni zaštitni zid ograničite na izvore koji trebaju doseći uslugu.
Zatim pregledajte stvarno učitanu konfiguraciju, uključujući uključene datoteke. U Squidu 6 ranije dopuštenje može učiniti kasnije ograničenje nebitnim. U Tinyproxyju 1.11.2 uklanjanje svih redova Allow i Deny dopušta sve klijente. Dante ima zasebna klijentska i SOCKS pravila, pa prihvatanje TCP veze nije cijela politika.
Koristite dokumentaciju instalirane verzije. Promjene direktiva u Squidu 8 razlog su da provjerite verziju, ne da pretpostavite kako je poznata konfiguracija prihvaćena s istim značenjem.
Testirajte dozvoljene i odbijene slučajeve
Ako proxy treba zahtijevati i odobren izvor i prijavu, provedite ovu matricu na sistemima pod vlastitom kontrolom:
| Izvor | Pristupni podaci | Potrebni ishod |
|---|---|---|
| Dozvoljen | Važeći | Predviđeno odredište prima zahtjev. |
| Dozvoljen | Nedostaju ili su pogrešni | Odredište nije dosegnuto. |
| Nedozvoljen | Važeći ili nedostaju | Odredište nije dosegnuto. |
Dva uređaja iza jednog NAT-a mogu izgledati kao isti izvor. Odaberite testne lokacije s različitim izvornim adresama kod proxyja i potvrdite ih u dnevnicima. Ne koristite nepovezane tuđe mašine niti skenirajte tuđe usluge.
Odbijanje zaštitnog zida može dati potpuno odsustvo HTTP odgovora; odbijanje aplikacije može vratiti grešku. U oba slučaja provjerite da kontrolisano odredište nije primilo zabranjeni zahtjev; sama stranica greške može se zamijeniti s odgovorom odredišta.
Isprobajte načine prosljeđivanja koje namjeravate dopustiti
Za web proxy odvojeno testirajte običan HTTP i dozvoljeni HTTPS CONNECT put. Ako politika ograničava odredišta, testirajte dozvoljeno i kontrolisano odredište koje treba biti odbijeno. Ne uklanjajte kontrole samo da svaki test uspije.
Ponovite nakon promjena izvornih raspona, pristupnih podataka, adresa osluškivanja, uključenih datoteka ili verzija usluge. Čuvajte vrijeme testa, verziju konfiguracije i rezultate zajedno radi provjere kasnije promjene prema istoj granici.
Ovo je postupak prihvatanja, ne tvrdnja da parser konfiguracije ili jedan zahtjev dokazuju zatvorenost svakog mrežnog puta.