Pastikan proksi anda tidak terbuka kepada semua orang
Semak pendengar, susunan peraturan, kelayakan dan pemajuan sebenar daripada sumber dibenarkan serta ditolak sebelum membuka proksi hadapan.
Uji sempadan akses sebelum proksi hadapan baharu boleh dicapai rangkaian lain. Permintaan berjaya daripada pelayan sendiri membuktikan sedikit tentang kemampuan klien luar. Gunakan destinasi terkawal untuk mengetahui sama ada permintaan ditolak benar-benar dimajukan.
Semak pendengar dan dasar berkesan
Semak proses dan alamat pendengaran, termasuk IPv6 jika aktif. Buang pendengar tambahan tidak sengaja atau tika perkhidmatan lama. Hadkan tembok api rangkaian kepada sumber yang patut mencapai perkhidmatan.
Kemudian semak konfigurasi yang benar-benar dimuatkan, termasuk fail yang disertakan. Dalam Squid 6, kebenaran terdahulu boleh menjadikan sekatan kemudian tidak berkesan. Dalam Tinyproxy 1.11.2, membuang semua baris Allow dan Deny membenarkan semua klien. Dante mempunyai peraturan klien dan SOCKS berasingan, maka menerima sambungan TCP bukan seluruh dasar.
Gunakan dokumentasi versi terpasang. Perubahan arahan Squid 8 ialah alasan menyemak versi, bukan menganggap konfigurasi biasa diterima dengan maksud sama.
Uji kes dibenarkan dan ditolak
Jika proksi mesti memerlukan sumber diluluskan dan log masuk serentak, jalankan matriks ini dengan sistem di bawah kawalan anda:
| Sumber | Kelayakan | Hasil wajib |
|---|---|---|
| Dibenarkan | Sah | Destinasi dikehendaki menerima permintaan. |
| Dibenarkan | Tiada atau salah | Destinasi tidak dicapai. |
| Tidak dibenarkan | Sah atau tiada | Destinasi tidak dicapai. |
Dua peranti di belakang satu NAT boleh kelihatan sebagai sumber sama. Pilih lokasi ujian yang mempunyai alamat sumber berbeza pada proksi dan sahkan dalam log. Jangan gunakan mesin pihak ketiga yang tidak berkaitan atau mengimbas perkhidmatan orang lain.
Penolakan tembok api mungkin tidak menghasilkan respons HTTP; penolakan aplikasi boleh mengembalikan ralat. Dalam kedua-dua kes, pastikan destinasi terkawal tidak menerima permintaan terlarang; halaman ralat sahaja boleh dikelirukan dengan respons destinasi.
Uji mod pemajuan yang hendak dibenarkan
Untuk proksi web, uji HTTP biasa dan laluan HTTPS CONNECT dibenarkan secara berasingan. Jika dasar mengehadkan destinasi, uji destinasi dibenarkan dan destinasi terkawal yang patut ditolak. Jangan buang kawalan semata-mata agar semua ujian berjaya.
Ulangi selepas perubahan julat sumber, kelayakan, alamat pendengaran, fail disertakan atau versi perkhidmatan. Simpan masa ujian, versi konfigurasi dan hasil bersama agar perubahan seterusnya boleh diperiksa terhadap sempadan sama.
Ini prosedur penerimaan, bukan dakwaan bahawa penghurai konfigurasi atau satu permintaan membuktikan semua laluan rangkaian tertutup.