Kontroller at proxyen ikke er åpen for alle
Kontroller lytter, regelrekkefølge, påloggingsopplysninger og faktisk videresending fra tillatte og avviste kilder før du eksponerer en forwardproxy.
Test tilgangsgrensen før en ny forwardproxy blir tilgjengelig fra andre nettverk. En vellykket forespørsel fra selve serveren beviser lite om hva en uvedkommende klient kan gjøre. Bruk et kontrollert mål for å se om en avvist forespørsel faktisk ble videresendt.
Kontroller gjeldende lytter og policy
Undersøk lyttende prosess og adresser, også IPv6 hvis aktivert. Fjern utilsiktede ekstra lyttere eller gamle tjenesteinstanser. Begrens nettverksbrannmuren til kildene som skal nå tjenesten.
Undersøk så konfigurasjonen prosessen faktisk lastet, inkludert inkluderte filer. I Squid 6 kan en tidligere tillatelse gjøre en senere begrensning virkningsløs. I Tinyproxy 1.11.2 tillater sletting av alle Allow- og Deny-linjer alle klienter. Dante har separate klient- og SOCKS-regler, så å godta TCP-forbindelsen er ikke hele policyen.
Bruk dokumentasjonen for installert versjon. Direktivendringene i Squid 8 er grunn til å kontrollere versjonen, ikke til å anta at kjent konfigurasjon ble godtatt med samme mening.
Test både tillatte og avviste tilfeller
Skal proxyen kreve både godkjent kilde og innlogging, kjør denne matrisen med systemer du kontrollerer:
| Kilde | Påloggingsopplysninger | Påkrevd resultat |
|---|---|---|
| Tillatt | Gyldige | Det tiltenkte målet mottar forespørselen. |
| Tillatt | Mangler eller er feil | Målet nås ikke. |
| Ikke tillatt | Gyldige eller mangler | Målet nås ikke. |
To enheter bak samme NAT kan fremstå som samme kilde. Velg teststeder med forskjellige kildeadresser ved proxyen, og bekreft dem i loggene. Ikke bruk uvedkommendes maskiner eller skann andres tjenester.
Et brannmuravslag kan gi intet HTTP-svar; et applikasjonsavslag kan returnere en feil. Kontroller i begge tilfeller at det kontrollerte målet ikke fikk den forbudte forespørselen; en feilside alene kan ellers forveksles med et målsvar.
Prøv videresendingsmodusene du vil tillate
For en webproxy, test vanlig HTTP og tillatt HTTPS-CONNECT-vei hver for seg. Begrenser policyen mål, test et tillatt mål og et kontrollert mål som skal avvises. Ikke fjern kontrollene bare for å få alle tester til å lykkes.
Test på nytt etter endringer i kildeområder, påloggingsopplysninger, lytteadresser, inkluderte filer eller tjenesteversjoner. Hold testtid, konfigurasjonsversjon og resultater samlet, slik at senere endringer kan kontrolleres mot samme grense.
Dette er en godkjenningsprosedyre, ikke en påstand om at en konfigurasjonsparser eller én forespørsel kan bevise at alle nettverksveier er stengt.