Kontroller at proxyen ikkje er open for alle
Kontroller lyttar, regelrekkjefølgje, innloggingsopplysningar og faktisk vidaresending frå tillatne og avviste kjelder før du eksponerer ein forwardproxy.
Test tilgangsgrensa før ein ny forwardproxy vert tilgjengeleg frå andre nettverk. Ein vellukka førespurnad frå sjølve serveren provar lite om kva ein uvedkomande klient kan gjere. Bruk eit kontrollert mål for å sjå om ein avvist førespurnad faktisk vart vidaresend.
Kontroller gjeldande lyttar og reglar
Undersøk lyttande prosess og adresser, òg IPv6 viss aktivert. Fjern utilsikta ekstra lyttarar eller gamle tenesteinstansar. Avgrens nettverksbrannmuren til kjeldene som skal nå tenesta.
Undersøk så oppsettet prosessen faktisk lasta, med inkluderte filer. I Squid 6 kan ei tidlegare tillating gjere ei seinare avgrensing verknadslaus. I Tinyproxy 1.11.2 tillèt sletting av alle Allow- og Deny-linjer alle klientar. Dante har separate klient- og SOCKS-reglar, så å godta TCP-sambandet er ikkje heile regelverket.
Bruk dokumentasjonen for installert versjon. Direktivendringane i Squid 8 er grunn til å kontrollere versjonen, ikkje til å tru at kjent oppsett vart godteke med same tyding.
Test både tillatne og avviste tilfelle
Skal proxyen krevje både godkjend kjelde og innlogging, køyr denne matrisa med system du kontrollerer:
| Kjelde | Innloggingsopplysningar | Påkravd resultat |
|---|---|---|
| Tillaten | Gyldige | Det tiltenkte målet får førespurnaden. |
| Tillaten | Manglar eller er feil | Målet vert ikkje nådd. |
| Ikkje tillaten | Gyldige eller manglar | Målet vert ikkje nådd. |
To einingar bak same NAT kan sjå ut som same kjelde. Vel teststader med ulike kjeldeadresser ved proxyen, og stadfest dei i loggane. Ikkje bruk uvedkomande sine maskiner eller skann andre sine tenester.
Eit brannmuravslag kan gi inkje HTTP-svar; eit applikasjonsavslag kan returnere ein feil. Kontroller i begge tilfelle at det kontrollerte målet ikkje fekk den forbodne førespurnaden; ei feilside åleine kan elles forvekslast med eit målsvar.
Prøv vidaresendingsmodusane du vil tillate
For ein webproxy, test vanleg HTTP og tillaten HTTPS-CONNECT-veg kvar for seg. Avgrensar reglane mål, test eit tillate mål og eit kontrollert mål som skal avvisast. Ikkje fjern kontrollane berre for å få alle testar til å lukkast.
Test på nytt etter endringar i kjeldeområde, innloggingsopplysningar, lytteadresser, inkluderte filer eller tenesteversjonar. Hald testtid, oppsettsversjon og resultat samla, slik at seinare endringar kan kontrollerast mot same grense.
Dette er ein godkjenningsprosedyre, ikkje ein påstand om at ein oppsettsparser eller éin førespurnad kan prove at alle nettverksvegar er stengde.