Varmista, ettei välityspalvelimesi ole avoin kaikille
Tarkista kuuntelija, sääntöjärjestys, tunnistetiedot ja todellinen välitys sallituista sekä estetyistä lähteistä ennen eteenpäin välittävän palvelimen avaamista.
Testaa pääsyraja ennen kuin uusi eteenpäin välittävä palvelin on muiden verkkojen tavoitettavissa. Onnistunut pyyntö itse palvelimelta kertoo vähän vieraan asiakkaan mahdollisuuksista. Käytä hallittua kohdetta, jotta näet, välitettiinkö estetty pyyntö oikeasti.
Tarkista todellinen kuuntelija ja käytäntö
Tutki kuunteleva prosessi ja osoitteet, myös IPv6 jos käytössä. Poista tahattomat lisäkuuntelijat tai vanhat palveluinstanssit. Rajaa verkkopalomuuri lähteisiin, joiden pitää päästä palveluun.
Tutki sitten prosessin todella lataama määritys sisällytettyine tiedostoineen. Squid 6:ssa aiempi salliminen voi tehdä myöhemmän rajoituksen tehottomaksi. Tinyproxy 1.11.2:ssa kaikkien Allow- ja Deny-rivien poistaminen sallii kaikki asiakkaat. Dantessa on erilliset asiakas- ja SOCKS-säännöt, joten TCP-yhteyden hyväksyminen ei ole koko käytäntö.
Käytä asennetun version dokumentaatiota. Squid 8:n direktiivimuutokset ovat syy tarkistaa versio, eivät peruste olettaa tutun määrityksen tulleen hyväksytyksi samassa merkityksessä.
Testaa sallitut ja estetyt tapaukset
Jos palvelimen tulee vaatia sekä hyväksytty lähde että kirjautuminen, suorita tämä taulukko hallitsemillasi järjestelmillä:
| Lähde | Tunnistetiedot | Vaadittu tulos |
|---|---|---|
| Sallittu | Kelvolliset | Aiottu kohde saa pyynnön. |
| Sallittu | Puuttuvat tai väärät | Kohdetta ei saavuteta. |
| Ei sallittu | Kelvolliset tai puuttuvat | Kohdetta ei saavuteta. |
Kaksi laitetta saman NAT:n takana voi näyttää samalta lähteeltä. Valitse testipaikat, joilla on eri lähdeosoitteet välityspalvelimella, ja vahvista ne lokeista. Älä käytä asiaan kuulumattomien kolmansien koneita tai skannaa toisten palveluja.
Palomuurin esto voi jättää HTTP-vastauksen kokonaan pois; sovelluksen esto voi palauttaa virheen. Varmista kummassakin, ettei hallittu kohde saanut kiellettyä pyyntöä; pelkkä virhesivu voidaan muuten sekoittaa kohteen vastaukseen.
Testaa välitysmuodot, jotka aiot sallia
Testaa verkkovälityspalvelimen tavallinen HTTP ja sallittu HTTPS CONNECT -reitti erikseen. Jos käytäntö rajoittaa kohteita, testaa sallittu sekä hallittu kohde, joka pitäisi estää. Älä poista rajoituksia vain saadaksesi kaikki testit onnistumaan.
Testaa uudelleen lähdealueiden, tunnistetietojen, kuunteluosoitteiden, sisällytettyjen tiedostojen tai palveluversioiden muutosten jälkeen. Pidä testiaika, määritysversio ja tulokset yhdessä, jotta myöhempää muutosta voi verrata samaan rajaan.
Tämä on hyväksymismenettely, ei väite, että määritysjäsennin tai yksi pyyntö todistaisi kaikki verkkoreitit suljetuiksi.