Comproba que o proxy non estea aberto a todos
Antes de expor un proxy directo, verifica a escoita, a orde de regras, as credenciais e o reenvío real desde orixes permitidas e denegadas.
Proba o límite de acceso antes de facer accesible un proxy directo novo desde outras redes. Unha petición correcta desde o propio servidor demostra pouco sobre o que pode facer un cliente alleo. Usa un destino controlado para saber se unha petición denegada se reenviou realmente.
Comproba a escoita e a política efectivas
Inspecciona o proceso e os enderezos de escoita, incluído IPv6 se está activo. Elimina escoitas adicionais non desexadas ou instancias antigas. Limita a devasa de rede ás orixes que deban chegar ao servizo.
Despois revisa a configuración realmente cargada, incluídos os ficheiros incorporados. En Squid 6, unha autorización anterior pode deixar sen efecto unha restrición posterior. En Tinyproxy 1.11.2, eliminar todas as liñas Allow e Deny permite todos os clientes. Dante ten regras de cliente e SOCKS separadas, polo que aceptar TCP non é toda a política.
Usa a documentación da versión instalada. Os cambios de directivas de Squid 8 xustifican comprobar a versión, non supoñer que unha configuración coñecida se aceptou co mesmo significado.
Proba os casos permitidos e denegados
Se o proxy debe esixir á vez unha orixe aprobada e un inicio de sesión, executa esta matriz con sistemas baixo o teu control:
| Orixe | Credenciais | Resultado requirido |
|---|---|---|
| Permitida | Válidas | O destino previsto recibe a petición. |
| Permitida | Ausentes ou incorrectas | Non se chega ao destino. |
| Non permitida | Válidas ou ausentes | Non se chega ao destino. |
Dous dispositivos tras o mesmo NAT poden parecer a mesma orixe. Escolle lugares de proba con enderezos de orixe distintos no proxy e confírmaos nos rexistros. Non uses máquinas de terceiros alleos nin escanees servizos doutras persoas.
Unha denegación da devasa pode non xerar resposta HTTP; unha da aplicación pode devolver un erro. Nos dous casos verifica que o destino controlado non recibiu a petición prohibida; unha páxina de erro soa pódese confundir cunha resposta do destino.
Proba os modos de reenvío que queres permitir
Para un proxy web, proba por separado HTTP normal e o camiño HTTPS CONNECT permitido. Se a política restrinxe destinos, proba un permitido e outro controlado que deba ser denegado. Non retires os controis só para que todas as probas funcionen.
Repite tras cambios nos rangos de orixe, credenciais, enderezos de escoita, ficheiros incluídos ou versións. Garda xuntos a hora da proba, a versión de configuración e os resultados para comprobar cambios futuros contra o mesmo límite.
É un procedemento de aceptación, non unha afirmación de que un analizador de configuración ou unha única petición probe que todos os camiños de rede están pechados.