Verificare che il proxy non sia aperto a tutti
Verifica listener, ordine delle regole, credenziali e inoltro reale da sorgenti consentite e negate prima di esporre un proxy diretto.
Prova il confine di accesso prima di rendere un nuovo proxy diretto raggiungibile da altre reti. Una richiesta riuscita dal server stesso dimostra poco su cosa possa fare un client estraneo. Usa una destinazione controllata per sapere se una richiesta negata è stata realmente inoltrata.
Controllare listener e politica effettivi
Esamina il processo e gli indirizzi in ascolto, compreso IPv6 se attivo. Rimuovi listener aggiuntivi involontari o vecchie istanze del servizio. Limita il firewall di rete alle sorgenti che devono raggiungere il servizio.
Poi esamina la configurazione realmente caricata, compresi i file inclusi. In Squid 6, un’autorizzazione precedente può rendere inutile una restrizione successiva. In Tinyproxy 1.11.2, eliminare tutte le righe Allow e Deny consente tutti i client. Dante ha regole client e SOCKS distinte, quindi ammettere la connessione TCP non è tutta la politica.
Usa la documentazione della versione installata. I cambiamenti delle direttive in Squid 8 richiedono di verificare la versione, non di presumere che una configurazione familiare sia stata accettata con lo stesso significato.
Provare i casi consentiti e negati
Se il proxy deve richiedere una sorgente approvata e un accesso autenticato, esegui questa matrice con sistemi sotto il tuo controllo:
| Sorgente | Credenziali | Esito richiesto |
|---|---|---|
| Consentita | Valide | La destinazione prevista riceve la richiesta. |
| Consentita | Mancanti o errate | La destinazione non viene raggiunta. |
| Non consentita | Valide o mancanti | La destinazione non viene raggiunta. |
Due dispositivi dietro lo stesso NAT possono apparire come la stessa sorgente. Scegli luoghi di prova con indirizzi sorgente diversi al proxy e confermali nei suoi log. Non usare macchine di terzi estranei né scansionare servizi altrui.
Un rifiuto del firewall può non generare alcuna risposta HTTP; un rifiuto dell’applicazione può restituire un errore. In entrambi i casi verifica che la destinazione controllata non abbia ricevuto la richiesta vietata: la sola pagina di errore potrebbe essere confusa con una risposta della destinazione.
Esercitare le modalità di inoltro da consentire
Per un proxy web, prova separatamente HTTP ordinario e il percorso HTTPS CONNECT consentito. Se la politica limita le destinazioni, provane una consentita e una controllata che debba essere rifiutata. Non rimuovere i controlli solo per far riuscire ogni test.
Ripeti dopo modifiche a intervalli sorgente, credenziali, indirizzi di ascolto, file inclusi o versioni. Conserva insieme ora del test, versione di configurazione ed esiti per confrontare i cambiamenti futuri con lo stesso confine.
È una procedura di accettazione, non l’affermazione che un parser di configurazione o una sola richiesta dimostrino la chiusura di ogni percorso di rete.