Kontrolli, et puhverserver pole kõigile avatud
Enne edastava puhverserveri avamist kontrolli kuulajat, reeglijärjekorda, mandaate ja tegelikku edastust lubatud ning keelatud allikatest.
Katseta pääsupiiri enne uue edastava puhverserveri kättesaadavaks tegemist teistele võrkudele. Edukas päring serverist endast tõendab vähe võõra kliendi võimalustest. Kasuta kontrollitud sihtkohta, et näha, kas keelatud päring edastati tegelikult.
Kontrolli tegelikku kuulajat ja poliitikat
Uuri kuulavat protsessi ja aadresse, ka IPv6 kui lubatud. Eemalda soovimatud lisakuulajad või vanad teenuseeksemplarid. Piira võrgu tulemüüri allikatega, mis peavad teenuseni jõudma.
Seejärel uuri protsessi tegelikult laaditud seadistust koos kaasatud failidega. Squid 6 puhul võib varasem lubamine muuta hilisema piirangu tähtsusetuks. Tinyproxy 1.11.2 puhul lubab kõigi Allow- ja Deny-ridade eemaldamine kõik kliendid. Dantel on eraldi kliendi- ja SOCKS-reeglid, seega TCP-ühenduse lubamine pole kogu poliitika.
Kasuta paigaldatud versiooni dokumentatsiooni. Squid 8 direktiivide muutused on põhjus versiooni kontrollimiseks, mitte eelduseks, et tuttav seadistus võeti sama tähendusega vastu.
Katseta lubatud ja keelatud juhtumeid
Kui puhverserver peab nõudma heakskiidetud allikat ja sisselogimist korraga, proovi seda maatriksit enda kontrollitud süsteemidega:
| Allikas | Mandaadid | Nõutav tulemus |
|---|---|---|
| Lubatud | Kehtivad | Kavandatud sihtkoht saab päringu. |
| Lubatud | Puuduvad või valed | Sihtkohta ei jõuta. |
| Keelatud | Kehtivad või puuduvad | Sihtkohta ei jõuta. |
Kaks seadet sama NAT-i taga võivad paista sama allikana. Vali testikohad erinevate lähteaadressidega puhverserveri juures ning kinnita need logides. Ära kasuta asjassepuutumatuid kolmandate isikute masinaid ega skanni teiste teenuseid.
Tulemüüri keeld võib jätta HTTP-vastuse üldse andmata; rakenduse keeld võib anda vea. Kontrolli mõlemal juhul, et hallatud sihtkoht ei saanud keelatud päringut; üksnes vealehte võib muidu sihtkoha vastusega segi ajada.
Proovi edastusviise, mida kavatsed lubada
Veebipuhverserveri puhul katseta tavalist HTTP-d ja lubatud HTTPS CONNECT-i teed eraldi. Kui poliitika piirab sihtkohti, proovi lubatud ja kontrollitud sihtkohta, mis peaks keelatud olema. Ära eemalda kontrolli lihtsalt kõigi testide õnnestumiseks.
Katseta uuesti lähtevahemike, mandaatide, kuulamisaadresside, kaasatud failide või teenuseversioonide muutumise järel. Hoia testiaeg, seadistusversioon ja tulemused koos, et hilisemat muudatust sama piiri vastu hinnata.
See on vastuvõtuprotseduur, mitte väide, et seadistusparser või üks päring tõendab kõigi võrguteede suletust.