Kontrolu ke via prokurilo ne estas malfermita al ĉiuj
Antaŭ ol elmontri plusendan prokurilon, kontrolu aŭskultanton, regulordon, akreditaĵojn kaj efektivan plusendon el permesitaj kaj rifuzitaj fontoj.
Provu la alirlimon antaŭ ol fari novan plusendan prokurilon atingebla el aliaj retoj. Sukcesa peto de la servilo mem pruvas malmulte pri tio, kion povas fari neapartena kliento. Uzu kontrolatan celon por vidi ĉu rifuzita peto efektive estis plusendita.
Kontrolu la efektivan aŭskultanton kaj politikon
Inspektu la aŭskultantan procezon kaj adresojn, inkluzive IPv6 se ŝaltita. Forigu neintencitajn kromajn aŭskultantojn aŭ malnovajn servinstancojn. Limigu la retan fajroŝirmilon al fontoj kiuj devus atingi la servon.
Poste inspektu la efektive ŝargitan agordon, kun inkluzivitaj dosieroj. En Squid 6 pli frua permeso povas senutiligi postan limigon. En Tinyproxy 1.11.2 forigi ĉiujn liniojn Allow kaj Deny permesas ĉiujn klientojn. Dante havas apartajn klientajn kaj SOCKS-regulojn, do akcepti la TCP-konekton ne estas la tuta politiko.
Uzu la dokumentaron de via instalita versio. La direktivŝanĝoj de Squid 8 estas kialo kontroli la version, ne supozi ke konata agordo estis akceptita kun la sama signifo.
Provu permesitajn kaj rifuzitajn okazojn
Se la prokurilo devas postuli kaj aprobitan fonton kaj ensaluton, rulu ĉi tiun matricon per sistemoj sub via kontrolo:
| Fonto | Akreditaĵoj | Postulata rezulto |
|---|---|---|
| Permesita | Validaj | La intencita celo ricevas la peton. |
| Permesita | Mankantaj aŭ malĝustaj | La celo ne estas atingita. |
| Ne permesita | Validaj aŭ mankantaj | La celo ne estas atingita. |
Du aparatoj malantaŭ unu NAT povas aspekti kiel la sama fonto. Elektu testlokojn kun malsamaj fontadresoj ĉe la prokurilo kaj konfirmu ilin en ĝiaj protokoloj. Ne uzu neapartenantajn triapartiajn maŝinojn kaj ne skanu servojn de aliaj homoj.
Fajroŝirmila rifuzo povas produkti neniun HTTP-respondon; aplikaĵa rifuzo povas redoni eraron. En ambaŭ okazoj kontrolu ke la kontrolata celo ne ricevis la malpermesitan peton; erarpaĝo sola povus alie konfuziĝi kun cela respondo.
Provu la plusendajn reĝimojn kiujn vi intencas permesi
Por reta prokurilo, provu ordinaran HTTP kaj la permesitan HTTPS CONNECT-vojon aparte. Se la politiko limigas celojn, provu permesitan celon kaj kontrolatan celon kiu devus esti rifuzita. Ne forigu kontrolojn nur por sukcesigi ĉiujn provojn.
Reprovu post ŝanĝoj de fontintervaloj, akreditaĵoj, aŭskultantadresoj, inkluzivitaj dosieroj aŭ servversioj. Konservu testotempon, agordversion kaj rezultojn kune por kompari postan ŝanĝon kun la sama limo.
Tio estas akceptoproceduro, ne aserto ke agordanalizilo aŭ unu peto povas pruvi ke ĉiu retvojo estas fermita.