Controleer dat je proxy niet voor iedereen openstaat
Controleer luisteradres, regelvolgorde, inloggegevens en echte doorsturing vanuit toegestane en geweigerde bronnen voordat je een forwardproxy beschikbaar maakt.
Test de toegangsgrens voordat een nieuwe forwardproxy bereikbaar wordt vanuit andere netwerken. Een geslaagd verzoek vanaf de server zelf bewijst weinig over wat een buitenstaander kan doen. Gebruik een gecontroleerd doel om te zien of een geweigerd verzoek toch is doorgestuurd.
Controleer de werkelijke listener en het beleid
Bekijk het luisterende proces en de adressen, inclusief IPv6 als dat actief is. Verwijder onbedoelde extra listeners of oude dienstinstanties. Beperk de netwerkfirewall tot bronnen die de dienst mogen bereiken.
Controleer daarna de werkelijk geladen configuratie, inclusief ingesloten bestanden. In Squid 6 kan een eerdere toestemming een latere beperking nutteloos maken. In Tinyproxy 1.11.2 staat het verwijderen van alle Allow- en Deny-regels alle clients toe. Dante heeft aparte client- en SOCKS-regels; de TCP-verbinding accepteren is dus niet het hele beleid.
Gebruik de documentatie van de geïnstalleerde versie. De richtlijnwijzigingen in Squid 8 zijn reden om de versie te controleren, niet om aan te nemen dat een bekende configuratie met dezelfde betekenis is geaccepteerd.
Test toegestane en geweigerde gevallen
Moet de proxy zowel een goedgekeurde bron als een aanmelding vereisen, voer deze matrix dan uit met systemen onder je controle:
| Bron | Inloggegevens | Vereist resultaat |
|---|---|---|
| Toegestaan | Geldig | Het bedoelde doel ontvangt het verzoek. |
| Toegestaan | Ontbrekend of onjuist | Het doel wordt niet bereikt. |
| Niet toegestaan | Geldig of ontbrekend | Het doel wordt niet bereikt. |
Twee apparaten achter dezelfde NAT kunnen als één bron verschijnen. Kies testlocaties met verschillende bronadressen bij de proxy en bevestig ze in de logs. Gebruik geen willekeurige machines van derden en scan geen diensten van anderen.
Een firewallweigering kan helemaal geen HTTP-antwoord geven; een toepassingsweigering kan een fout terugsturen. Controleer in beide gevallen dat het beheerde doel het verboden verzoek niet ontving. Alleen een foutpagina kan anders worden verward met een antwoord van het doel.
Test de doorstuurmodi die je wilt toestaan
Test bij een webproxy gewone HTTP en het toegestane HTTPS-CONNECT-pad afzonderlijk. Beperkt het beleid doelen, test dan een toegestaan doel en een gecontroleerd doel dat geweigerd moet worden. Verwijder geen controles alleen om elke test te laten slagen.
Test opnieuw na wijzigingen aan bronbereiken, inloggegevens, luisteradressen, ingesloten bestanden of dienstversies. Bewaar testtijd, configuratieversie en resultaten samen om een latere wijziging aan dezelfde grens te toetsen.
Dit is een acceptatieprocedure, geen bewering dat een configuratieparser of één verzoek kan bewijzen dat elk netwerkpad dichtstaat.