Comprueba que tu proxy no esté abierto a todos
Verifica escucha, orden de reglas, credenciales y reenvío real desde orígenes permitidos y denegados antes de exponer un proxy directo.
Prueba el límite de acceso antes de hacer accesible un nuevo proxy directo desde otras redes. Una petición correcta desde el propio servidor demuestra muy poco sobre lo que puede hacer un cliente ajeno. Usa un destino controlado para saber si una petición denegada se reenvió realmente.
Comprueba la escucha y la política efectivas
Inspecciona el proceso y las direcciones de escucha, incluido IPv6 si está activo. Elimina escuchas adicionales no deseadas o instancias antiguas del servicio. Limita el cortafuegos de red a los orígenes que deban alcanzar el servicio.
Después revisa la configuración realmente cargada, incluidos los archivos incorporados. En Squid 6, una autorización anterior puede dejar sin efecto una restricción posterior. En Tinyproxy 1.11.2, eliminar todas las líneas Allow y Deny permite todos los clientes. Dante tiene reglas de cliente y SOCKS separadas, por lo que aceptar la conexión TCP no es toda la política.
Usa la documentación de la versión instalada. Los cambios de directivas de Squid 8 justifican verificar la versión, no suponer que una configuración conocida se aceptó con el mismo significado.
Prueba tanto los casos permitidos como los denegados
Si el proxy debe exigir un origen aprobado y un inicio de sesión, ejecuta esta matriz con sistemas que controles:
| Origen | Credenciales | Resultado requerido |
|---|---|---|
| Permitido | Válidas | El destino previsto recibe la petición. |
| Permitido | Ausentes o incorrectas | No se alcanza el destino. |
| No permitido | Válidas o ausentes | No se alcanza el destino. |
Dos dispositivos tras un mismo NAT pueden parecer el mismo origen. Elige lugares de prueba con direcciones de origen distintas en el proxy y confírmalas en sus registros. No uses máquinas de terceros ajenos ni escanees servicios de otras personas.
Una denegación del cortafuegos puede no generar respuesta HTTP; una de la aplicación puede devolver un error. En ambos casos verifica que el destino controlado no recibió la petición prohibida: una página de error sola podría confundirse con una respuesta del destino.
Prueba los modos de reenvío que pretendes permitir
Para un proxy web, prueba por separado una petición HTTP normal y la ruta HTTPS CONNECT permitida. Si la política restringe destinos, prueba uno permitido y otro controlado que deba rechazarse. No retires los controles para que todas las pruebas salgan bien.
Repite tras cambiar rangos de origen, credenciales, direcciones de escucha, archivos incluidos o versiones. Conserva juntos hora de prueba, versión de configuración y resultados para comparar cambios posteriores con el mismo límite.
Es un procedimiento de aceptación, no una afirmación de que un analizador de configuración o una sola petición prueben que todas las rutas están cerradas.