Comproveu que el proxy no estigui obert a tothom
Abans d’exposar un proxy directe, verifiqueu l’escolta, l’ordre de regles, les credencials i el reenviament real des d’orígens permesos i denegats.
Proveu el límit d’accés abans de fer accessible un proxy directe nou des d’altres xarxes. Una petició correcta des del mateix servidor demostra molt poc sobre què pot fer un client aliè. Utilitzeu una destinació controlada per saber si una petició denegada s’ha reenviat realment.
Comproveu l’escolta i la política efectives
Inspeccioneu el procés i les adreces d’escolta, inclòs IPv6 si està actiu. Elimineu escoltes addicionals no desitjades o instàncies antigues del servei. Limiteu el tallafoc de xarxa als orígens que hagin d’arribar al servei.
Després reviseu la configuració realment carregada, inclosos els fitxers incorporats. A Squid 6, una autorització anterior pot deixar sense efecte una restricció posterior. A Tinyproxy 1.11.2, eliminar totes les línies Allow i Deny permet tots els clients. Dante té regles de client i SOCKS separades, de manera que acceptar TCP no és tota la política.
Feu servir la documentació de la versió instal·lada. Els canvis de directives de Squid 8 justifiquen comprovar la versió, no suposar que una configuració coneguda s’ha acceptat amb el mateix significat.
Proveu els casos permesos i denegats
Si el proxy ha d’exigir alhora un origen aprovat i un inici de sessió, executeu aquesta matriu amb sistemes sota el vostre control:
| Origen | Credencials | Resultat requerit |
|---|---|---|
| Permès | Vàlides | La destinació prevista rep la petició. |
| Permès | Absents o incorrectes | No s’arriba a la destinació. |
| No permès | Vàlides o absents | No s’arriba a la destinació. |
Dos dispositius darrere del mateix NAT poden semblar el mateix origen. Trieu llocs de prova amb adreces d’origen diferents al proxy i confirmeu-les als registres. No utilitzeu màquines de tercers aliens ni escanegeu serveis d’altres persones.
Una denegació del tallafoc pot no generar cap resposta HTTP; una de l’aplicació pot tornar un error. En tots dos casos verifiqueu que la destinació controlada no ha rebut la petició prohibida; una pàgina d’error sola es pot confondre amb una resposta de la destinació.
Proveu els modes de reenviament que voleu permetre
Per a un proxy web, proveu separadament HTTP normal i el camí HTTPS CONNECT permès. Si la política restringeix destinacions, proveu-ne una de permesa i una de controlada que hagi de ser denegada. No retireu els controls només perquè totes les proves funcionin.
Repetiu les proves després de canvis als rangs d’origen, credencials, adreces d’escolta, fitxers inclosos o versions. Deseu junts l’hora de prova, la versió de configuració i els resultats per comprovar canvis futurs contra el mateix límit.
És un procediment d’acceptació, no una afirmació que un analitzador de configuració o una sola petició provi que tots els camins de xarxa estan tancats.