Ellenőrizze, hogy proxyja nem nyitott-e mindenki számára
Forward proxy megnyitása előtt ellenőrizze a figyelőt, szabálysorrendet, hitelesítő adatokat és tényleges továbbítást engedélyezett és tiltott forrásból.
Tesztelje a hozzáférési határt, mielőtt új forward proxy más hálózatokból elérhetővé válik. Egy sikeres kérés magáról a szerverről keveset bizonyít egy idegen kliens lehetőségeiről. Ellenőrzött célt használjon, hogy kiderüljön, a tiltott kérést ténylegesen továbbították-e.
Ellenőrizze a tényleges figyelőt és szabályzatot
Nézze meg a figyelő folyamatot és címeket, az IPv6-ot is, ha engedélyezett. Távolítsa el a véletlen további figyelőket vagy régi szolgáltatáspéldányokat. A hálózati tűzfalat a szolgáltatást elérni jogosult forrásokra korlátozza.
Utána a ténylegesen betöltött konfigurációt nézze meg a beemelt fájlokkal együtt. Squid 6-ban egy korábbi engedély hatástalanná tehet későbbi korlátozást. Tinyproxy 1.11.2-ben minden Allow és Deny sor eltávolítása minden klienst beenged. A Danténak külön kliens- és SOCKS-szabályai vannak, ezért a TCP-kapcsolat engedélye nem a teljes szabályzat.
A telepített verzió dokumentációját használja. A Squid 8 direktívaváltozásai a verzió ellenőrzésére adnak okot, nem arra, hogy a megszokott konfigurációt azonos jelentéssel elfogadottnak vélje.
Engedélyezett és tiltott eseteket egyaránt teszteljen
Ha a proxy jóváhagyott forrást és bejelentkezést egyszerre követelne, saját ellenőrzésű rendszerekkel végezze el ezt a mátrixot:
| Forrás | Hitelesítő adatok | Elvárt eredmény |
|---|---|---|
| Engedélyezett | Érvényesek | A tervezett cél megkapja a kérést. |
| Engedélyezett | Hiányoznak vagy hibásak | A cél nem érhető el. |
| Nem engedélyezett | Érvényesek vagy hiányoznak | A cél nem érhető el. |
Két eszköz egy NAT mögött azonos forrásnak látszhat. Olyan teszthelyeket válasszon, amelyek a proxynál eltérő forráscímet adnak, és erősítse meg a naplóban. Ne használjon idegen harmadik fél gépeit, és ne vizsgálja át mások szolgáltatásait.
A tűzfal tiltása akár semmilyen HTTP-választ nem ad, az alkalmazás tiltása hibát küldhet. Mindkét esetben ellenőrizze, hogy a kontrollált cél nem kapta meg a tiltott kérést; a hibasablon önmagában összetéveszthető a cél válaszával.
Próbálja ki az engedélyezni kívánt továbbítási módokat
Webproxynál külön tesztelje a rendes HTTP-kérést és a megengedett HTTPS CONNECT-utat. Ha a szabályzat célokat korlátoz, próbáljon megengedett célt és kontrollált célt, amelyet tiltani kellene. Ne távolítsa el az ellenőrzést csak minden teszt sikeréért.
Teszteljen újra a forrástartományok, hitelesítő adatok, figyelőcímek, beemelt fájlok vagy szolgáltatásverziók változása után. A tesztidőt, konfigurációverziót és eredményt tartsa együtt a későbbi változtatások azonos határon történő ellenőrzéséhez.
Ez átvételi eljárás, nem állítás arról, hogy konfigurációelemző vagy egy kérés bizonyítja minden hálózati út lezárását.