プロキシは閉じている。なぜリクエストは今も届くのか
プロキシのアクセスを厳格化した後も続く接続試行と、成功した不正転送とを区別する。
リクエストが届き続けても、外部の者がプロキシを使えている証拠にはならない。アクセス方針を変えた後も、古いエンドポイントがリクエスト一覧に残ることがある。修復は何が転送されているかで確認する。
- 管理下の宛先に対して、許可されたリクエストと許可されないリクエストを行う。
- 設定済みのログ形式で、アクセス判定と、Squid の場合は階層フィールドを読む。
- 禁止されたリクエストが実際に宛先へ到達したかを確かめる。TCP を受け入れること、HTTP リクエストを拒否すること、後続のリクエストを完了することは別の結果である。
- 他の有効なリスナーとバーチャルホストを確認し、修正したポリシーブロックが別の入口を開けたままにしないようにする。
逆マッピングのみを提供する Apache では、意図しないフォワードプロキシが無効であることを確認する。ProxyRequests Off は ProxyPass と共存できる。
どの構成要素が出したか分からないなら、エラーページだけでは証拠として弱い。クライアントの結果、プロキシの判定、宛先での観測をまとめて保持する。
拒否された通信がなお資源を消費するなら、ネットワークアクセスを狭め、レートとログ保持を管理する。試行が必ず止まる信頼できる待機期間はない。正しい転送判定が受け入れ基準である。