Provjerite da proxy nije otvoren svima
Prije izlaganja izlaznog proxyja provjerite osluškivač, redoslijed pravila, vjerodajnice i stvarno prosljeđivanje iz dopuštenih i odbijenih izvora.
Testirajte granicu pristupa prije nego novi izlazni proxy postane dostupan drugim mrežama. Uspješan zahtjev sa samog poslužitelja malo dokazuje o mogućnostima nepovezanog klijenta. Koristite kontrolirano odredište kako biste znali je li odbijeni zahtjev zaista proslijeđen.
Provjerite stvarni osluškivač i politiku
Pregledajte proces i adrese za osluškivanje, uključujući IPv6 ako je uključen. Uklonite nenamjerne dodatne osluškivače ili stare instance usluge. Mrežni vatrozid ograničite na izvore koji trebaju doseći uslugu.
Zatim pregledajte stvarno učitanu konfiguraciju, uključujući uključene datoteke. U Squidu 6 ranije dopuštenje može učiniti kasnije ograničenje nevažnim. U Tinyproxyju 1.11.2 uklanjanje svih redaka Allow i Deny dopušta sve klijente. Dante ima zasebna klijentska i SOCKS pravila, pa prihvaćanje TCP veze nije cijela politika.
Koristite dokumentaciju instalirane verzije. Promjene direktiva u Squidu 8 razlog su za provjeru verzije, a ne za pretpostavku da je poznata konfiguracija prihvaćena s istim značenjem.
Testirajte dopuštene i odbijene slučajeve
Ako proxy treba zahtijevati i odobren izvor i prijavu, provedite ovu matricu na sustavima pod vlastitom kontrolom:
| Izvor | Vjerodajnice | Potrebni ishod |
|---|---|---|
| Dopušten | Valjane | Predviđeno odredište prima zahtjev. |
| Dopušten | Nedostaju ili su pogrešne | Odredište nije dosegnuto. |
| Nedopušten | Valjane ili nedostaju | Odredište nije dosegnuto. |
Dva uređaja iza jednog NAT-a mogu izgledati kao isti izvor. Odaberite testne lokacije s različitim izvornim adresama kod proxyja i potvrdite ih u dnevnicima. Ne koristite nepovezane tuđe strojeve niti skenirajte tuđe usluge.
Odbijanje vatrozida možda neće dati HTTP odgovor; odbijanje aplikacije može vratiti pogrešku. U oba slučaja provjerite da kontrolirano odredište nije primilo zabranjeni zahtjev; sama stranica pogreške može se zamijeniti s odgovorom odredišta.
Isprobajte načine prosljeđivanja koje namjeravate dopustiti
Za web proxy odvojeno testirajte običan HTTP i dopušteni HTTPS CONNECT put. Ako politika ograničava odredišta, testirajte dopušteno i kontrolirano odredište koje treba biti odbijeno. Ne uklanjajte kontrole samo kako bi svaki test uspio.
Ponovite nakon promjena izvornih raspona, vjerodajnica, adresa osluškivanja, uključenih datoteka ili verzija usluge. Čuvajte vrijeme testa, verziju konfiguracije i rezultate zajedno radi provjere kasnije promjene prema istoj granici.
Ovo je postupak prihvata, ne tvrdnja da parser konfiguracije ili jedan zahtjev dokazuju zatvorenost svih mrežnih putova.