Ověřte, že vaše proxy není otevřená všem
Před zpřístupněním dopředné proxy ověřte naslouchání, pořadí pravidel, přihlašovací údaje a skutečné předávání z povolených i odmítnutých zdrojů.
Otestujte hranici přístupu před zpřístupněním nové dopředné proxy jiným sítím. Úspěšný požadavek ze samotného serveru málo dokazuje o možnostech cizího klienta. Použijte kontrolovaný cíl, abyste poznali, zda byl odmítnutý požadavek skutečně předán.
Ověřte skutečné naslouchání a politiku
Prohlédněte naslouchající proces a adresy včetně IPv6, pokud je zapnuté. Odstraňte nechtěné další listenery nebo staré instance služby. Síťový firewall omezte na zdroje, které mají službu dosáhnout.
Pak zkontrolujte skutečně načtenou konfiguraci včetně zahrnutých souborů. Ve Squid 6 může dřívější povolení zneplatnit pozdější omezení. V Tinyproxy 1.11.2 odstranění všech řádků Allow a Deny povolí všechny klienty. Dante má oddělená klientská a SOCKS pravidla, takže přijetí TCP spojení není celá politika.
Použijte dokumentaci instalované verze. Změny direktiv ve Squid 8 jsou důvodem ověřit verzi, nikoli předpokládat, že známá konfigurace byla přijata se stejným významem.
Otestujte povolené i odmítnuté případy
Má-li proxy vyžadovat schválený zdroj a přihlášení současně, proveďte tuto matici na vlastních kontrolovaných systémech:
| Zdroj | Přihlašovací údaje | Požadovaný výsledek |
|---|---|---|
| Povolený | Platné | Zamýšlený cíl obdrží požadavek. |
| Povolený | Chybějící nebo špatné | Cíl není dosažen. |
| Nepovolený | Platné nebo chybějící | Cíl není dosažen. |
Dvě zařízení za jedním NAT mohou vypadat jako stejný zdroj. Vyberte místa testu s různými zdrojovými adresami u proxy a potvrďte je v logu. Nepoužívejte nesouvisející cizí stroje ani neskenujte služby jiných lidí.
Odmítnutí firewallem nemusí dát žádnou HTTP odpověď; odmítnutí aplikací může vrátit chybu. V obou případech ověřte, že kontrolovaný cíl neobdržel zakázaný požadavek; samotnou chybovou stránku lze zaměnit za odpověď cíle.
Vyzkoušejte režimy předávání, které chcete povolit
Pro webovou proxy testujte obyčejný HTTP požadavek a povolenou cestu HTTPS CONNECT odděleně. Pokud politika omezuje cíle, testujte povolený a kontrolovaný cíl, který se má odmítnout. Neodstraňujte kontroly jen kvůli úspěchu všech testů.
Opakujte testy po změně rozsahů zdrojů, údajů, naslouchajících adres, zahrnutých souborů nebo verzí služby. Uchovejte společně čas testu, verzi konfigurace a výsledky pro kontrolu pozdější změny vůči stejné hranici.
Jde o přejímací postup, ne tvrzení, že parser konfigurace nebo jeden požadavek dokáže uzavření všech síťových cest.