Pārbaudiet, ka jūsu proxy nav atvērts visiem
Pirms pārsūtoša starpniekservera atvēršanas pārbaudiet klausītāju, noteikumu secību, akreditācijas datus un īsto pārsūtīšanu no atļautiem un liegtiem avotiem.
Testējiet piekļuves robežu pirms jaunais pārsūtošais serveris sasniedzams no citiem tīkliem. Veiksmīgs pieprasījums no paša servera maz pierāda par sveša klienta iespējām. Izmantojiet kontrolētu mērķi, lai noteiktu, vai noraidīts pieprasījums tika faktiski pārsūtīts.
Pārbaudiet īsto klausītāju un politiku
Apskatiet klausītāja procesu un adreses, ieskaitot IPv6, ja ieslēgts. Noņemiet nejaušus papildu klausītājus vai vecas pakalpojuma instances. Tīkla ugunsmūri ierobežojiet ar avotiem, kuriem jāsasniedz pakalpojums.
Tad pārbaudiet faktiski ielādēto konfigurāciju ar iekļautajiem failiem. Squid 6 agrāka atļauja var padarīt vēlāku ierobežojumu neefektīvu. Tinyproxy 1.11.2 visu Allow un Deny rindu noņemšana atļauj visus klientus. Dante ir atsevišķi klienta un SOCKS noteikumi, tāpēc TCP savienojuma pieņemšana nav visa politika.
Lietojiet instalētās versijas dokumentāciju. Squid 8 direktīvu izmaiņas ir iemesls pārbaudīt versiju, nevis pieņemt, ka pazīstama konfigurācija pieņemta ar to pašu nozīmi.
Testējiet atļautus un noraidītus gadījumus
Ja serverim jāpieprasa gan apstiprināts avots, gan pieteikšanās, izpildiet šo matricu savās kontrolētās sistēmās:
| Avots | Akreditācijas dati | Vajadzīgais rezultāts |
|---|---|---|
| Atļauts | Derīgi | Paredzētais mērķis saņem pieprasījumu. |
| Atļauts | Trūkst vai kļūdaini | Mērķis netiek sasniegts. |
| Nav atļauts | Derīgi vai trūkst | Mērķis netiek sasniegts. |
Divas ierīces aiz viena NAT var izskatīties kā viens avots. Izvēlieties testa vietas ar dažādām avota adresēm pie servera un apstipriniet tās žurnālos. Nelietojiet nesaistītu trešo personu datorus un neskenējiet citu pakalpojumus.
Ugunsmūra liegums var nedot nekādu HTTP atbildi; lietotnes liegums var atdot kļūdu. Abos gadījumos pārliecinieties, ka kontrolētais mērķis nav saņēmis aizliegto pieprasījumu; tikai kļūdas lapu var sajaukt ar mērķa atbildi.
Izmēģiniet pārsūtīšanas režīmus, ko gribat atļaut
Tīmekļa starpniekserverī atsevišķi testējiet parastu HTTP un atļauto HTTPS CONNECT ceļu. Ja politika ierobežo mērķus, testējiet atļautu un kontrolētu mērķi, kas jānoraida. Nenoņemiet kontroli tikai visu testu veiksmei.
Atkārtojiet pēc avota diapazonu, akreditācijas datu, klausīšanās adrešu, iekļauto failu vai pakalpojuma versiju izmaiņām. Glabājiet testa laiku, konfigurācijas versiju un rezultātus kopā, lai vēlāku izmaiņu pārbaudītu pret to pašu robežu.
Tā ir pieņemšanas procedūra, nevis apgalvojums, ka konfigurācijas parsētājs vai viens pieprasījums pierāda visu tīkla ceļu slēgšanu.