Ελέγξτε ότι το proxy δεν είναι ανοικτό σε όλους
Πριν εκθέσετε ένα forward proxy, ελέγξτε ακροατή, σειρά κανόνων, διαπιστευτήρια και πραγματική προώθηση από επιτρεπόμενες και απορριπτόμενες πηγές.
Δοκιμάστε το όριο πρόσβασης πριν γίνει νέο forward proxy προσβάσιμο από άλλα δίκτυα. Επιτυχές αίτημα από τον ίδιο τον διακομιστή αποδεικνύει ελάχιστα για τις δυνατότητες ξένου πελάτη. Χρησιμοποιήστε ελεγχόμενο προορισμό για να διακρίνετε αν απορριφθέν αίτημα προωθήθηκε πραγματικά.
Ελέγξτε τον ενεργό ακροατή και την πολιτική
Επιθεωρήστε τη διεργασία και τις διευθύνσεις ακρόασης, μαζί με IPv6 αν ενεργό. Αφαιρέστε ακούσιους πρόσθετους ακροατές ή παλιές διεργασίες υπηρεσίας. Περιορίστε το δικτυακό τείχος προστασίας στις πηγές που πρέπει να φτάνουν στην υπηρεσία.
Έπειτα εξετάστε την πραγματικά φορτωμένη ρύθμιση, μαζί με συμπεριλαμβανόμενα αρχεία. Στο Squid 6 προγενέστερη άδεια μπορεί να ακυρώσει μεταγενέστερο περιορισμό. Στο Tinyproxy 1.11.2 η αφαίρεση όλων των γραμμών Allow και Deny επιτρέπει όλους τους πελάτες. Το Dante έχει ξεχωριστούς κανόνες πελάτη και SOCKS, άρα αποδοχή της TCP σύνδεσης δεν είναι όλη η πολιτική.
Χρησιμοποιήστε την τεκμηρίωση της εγκατεστημένης έκδοσης. Οι αλλαγές οδηγιών του Squid 8 είναι λόγος να επαληθεύσετε την έκδοση, όχι να θεωρήσετε ότι γνωστή ρύθμιση έγινε δεκτή με το ίδιο νόημα.
Δοκιμάστε επιτρεπόμενες και απορριπτόμενες περιπτώσεις
Αν το proxy πρέπει να απαιτεί και εγκεκριμένη πηγή και σύνδεση χρήστη, εκτελέστε αυτόν τον πίνακα με συστήματα που ελέγχετε:
| Πηγή | Διαπιστευτήρια | Απαιτούμενο αποτέλεσμα |
|---|---|---|
| Επιτρεπόμενη | Έγκυρα | Ο προβλεπόμενος προορισμός λαμβάνει το αίτημα. |
| Επιτρεπόμενη | Απόντα ή λανθασμένα | Ο προορισμός δεν προσεγγίζεται. |
| Μη επιτρεπόμενη | Έγκυρα ή απόντα | Ο προορισμός δεν προσεγγίζεται. |
Δύο συσκευές πίσω από ένα NAT μπορεί να φαίνονται ως ίδια πηγή. Επιλέξτε θέσεις δοκιμής με διαφορετικές διευθύνσεις πηγής στο proxy και επιβεβαιώστε τις στα αρχεία καταγραφής. Μη χρησιμοποιείτε ξένα άσχετα μηχανήματα και μη σαρώνετε υπηρεσίες άλλων.
Απόρριψη από τείχος προστασίας μπορεί να μη δώσει καμία απάντηση HTTP· απόρριψη εφαρμογής μπορεί να επιστρέψει σφάλμα. Και στις δύο περιπτώσεις ελέγξτε ότι ο ελεγχόμενος στόχος δεν έλαβε το απαγορευμένο αίτημα· μια σελίδα σφάλματος μόνη μπορεί να συγχέεται με απάντηση προορισμού.
Δοκιμάστε τους τρόπους προώθησης που σκοπεύετε να επιτρέψετε
Για proxy ιστού, δοκιμάστε απλό HTTP και την επιτρεπόμενη διαδρομή HTTPS CONNECT χωριστά. Αν η πολιτική περιορίζει προορισμούς, δοκιμάστε επιτρεπόμενο και ελεγχόμενο προορισμό που πρέπει να απορρίπτεται. Μην αφαιρείτε ελέγχους μόνο για επιτυχία όλων των δοκιμών.
Επαναλάβετε μετά από αλλαγές σε εύρη πηγών, διαπιστευτήρια, διευθύνσεις ακρόασης, συμπεριλαμβανόμενα αρχεία ή εκδόσεις. Κρατήστε μαζί ώρα δοκιμής, έκδοση ρύθμισης και αποτελέσματα για σύγκριση μεταγενέστερης αλλαγής με το ίδιο όριο.
Αυτή είναι διαδικασία αποδοχής, όχι ισχυρισμός ότι αναλυτής ρύθμισης ή ένα αίτημα αποδεικνύει πως κάθε δικτυακή διαδρομή είναι κλειστή.