Patikrinkite, kad jūsų proxy nebūtų atviras visiems
Prieš atverdami persiunčiantį tarpinį serverį patikrinkite klausytoją, taisyklių tvarką, prisijungimo duomenis ir tikrą persiuntimą iš leidžiamų bei draudžiamų šaltinių.
Bandykite prieigos ribą prieš padarydami naują persiunčiantį serverį pasiekiamą iš kitų tinklų. Sėkminga užklausa iš paties serverio mažai įrodo apie svetimo kliento galimybes. Naudokite valdomą paskirtį, kad atskirtumėte, ar atmesta užklausa buvo iš tikrųjų persiųsta.
Patikrinkite tikrą klausytoją ir politiką
Apžiūrėkite klausantį procesą ir adresus, įskaitant IPv6, jei įjungtas. Pašalinkite netyčinius papildomus klausytojus ar senus paslaugos egzempliorius. Tinklo užkardą apribokite šaltiniais, kurie turi pasiekti paslaugą.
Tada tikrinkite iš tiesų įkeltą konfigūraciją su įtrauktais failais. Squid 6 ankstesnis leidimas gali panaikinti vėlesnio apribojimo poveikį. Tinyproxy 1.11.2 visų Allow ir Deny eilučių pašalinimas leidžia visus klientus. Dante turi atskiras kliento ir SOCKS taisykles, todėl TCP ryšio priėmimas nėra visa politika.
Naudokite įdiegtos versijos dokumentaciją. Squid 8 direktyvų pakeitimai yra priežastis tikrinti versiją, ne manyti, kad pažįstama konfigūracija priimta ta pačia prasme.
Bandykite leidžiamus ir atmetamus atvejus
Jei serveris turi reikalauti ir patvirtinto šaltinio, ir prisijungimo, vykdykite šią matricą savo valdomose sistemose:
| Šaltinis | Prisijungimo duomenys | Reikiamas rezultatas |
|---|---|---|
| Leidžiamas | Tinkami | Numatyta paskirtis gauna užklausą. |
| Leidžiamas | Nėra arba klaidingi | Paskirtis nepasiekiama. |
| Neleidžiamas | Tinkami arba nėra | Paskirtis nepasiekiama. |
Du įrenginiai už vieno NAT gali atrodyti tuo pačiu šaltiniu. Rinkitės bandymų vietas su skirtingais šaltinio adresais serveryje ir patvirtinkite juos žurnaluose. Nenaudokite nesusijusių trečiųjų asmenų kompiuterių ir neskenuokite svetimų paslaugų.
Užkardos draudimas gali neduoti jokio HTTP atsakymo; programos draudimas gali grąžinti klaidą. Abiem atvejais tikrinkite, kad valdomas tikslas negavo draudžiamos užklausos; vien klaidos puslapį galima supainioti su paskirties atsakymu.
Išbandykite persiuntimo režimus, kuriuos ketinate leisti
Žiniatinklio serveryje atskirai bandykite įprastą HTTP ir leidžiamą HTTPS CONNECT kelią. Jei politika riboja paskirtis, bandykite leidžiamą ir valdomą paskirtį, kuri turi būti atmesta. Nešalinkite kontrolės tik dėl visų testų sėkmės.
Kartokite pakeitę šaltinio diapazonus, prisijungimo duomenis, klausymo adresus, įtrauktus failus ar paslaugos versijas. Laikykite bandymo laiką, konfigūracijos versiją ir rezultatus kartu, kad vėlesnį pakeitimą vertintumėte pagal tą pačią ribą.
Tai priėmimo procedūra, o ne teiginys, kad konfigūracijos analizatorius ar viena užklausa įrodo visų tinklo kelių uždarymą.