Sprawdź, czy Twój proxy nie jest otwarty dla wszystkich
Przed udostępnieniem proxy przekazującego sprawdź nasłuch, kolejność reguł, dane logowania i faktyczne przekazywanie z dozwolonych oraz zabronionych źródeł.
Przetestuj granicę dostępu, zanim nowy proxy przekazujący stanie się osiągalny z innych sieci. Udane żądanie z samego serwera niewiele dowodzi o możliwościach obcego klienta. Użyj kontrolowanego celu, aby ustalić, czy odrzucone żądanie faktycznie przekazano.
Sprawdź efektywny nasłuch i politykę
Sprawdź nasłuchujący proces oraz adresy, w tym IPv6, jeśli włączony. Usuń niezamierzone dodatkowe nasłuchy i stare instancje usługi. Ogranicz zaporę sieciową do źródeł, które powinny osiągać usługę.
Potem sprawdź rzeczywiście wczytaną konfigurację wraz z dołączonymi plikami. W Squid 6 wcześniejsze zezwolenie może unieważnić późniejsze ograniczenie. W Tinyproxy 1.11.2 usunięcie wszystkich wierszy Allow i Deny dopuszcza wszystkich klientów. Dante ma oddzielne reguły klienta i SOCKS, więc przyjęcie połączenia TCP nie jest całą polityką.
Korzystaj z dokumentacji zainstalowanej wersji. Zmiany dyrektyw Squid 8 uzasadniają sprawdzenie wersji, a nie założenie, że znana konfiguracja została przyjęta z tym samym znaczeniem.
Przetestuj przypadki dozwolone i odrzucone
Jeśli proxy ma wymagać zatwierdzonego źródła oraz logowania, wykonaj tę macierz na kontrolowanych przez siebie systemach:
| Źródło | Dane logowania | Wymagany wynik |
|---|---|---|
| Dozwolone | Prawidłowe | Zamierzony cel otrzymuje żądanie. |
| Dozwolone | Brak lub błędne | Cel nie zostaje osiągnięty. |
| Niedozwolone | Prawidłowe lub brak | Cel nie zostaje osiągnięty. |
Dwa urządzenia za jednym NAT mogą wyglądać jak jedno źródło. Wybierz miejsca testu o różnych adresach widzianych przez proxy i potwierdź je w logach. Nie używaj obcych maszyn osób trzecich ani nie skanuj cudzych usług.
Odrzucenie przez zaporę może nie dać odpowiedzi HTTP; odrzucenie przez aplikację może zwrócić błąd. W obu przypadkach sprawdź, czy kontrolowany cel nie otrzymał zabronionego żądania. Samą stronę błędu można pomylić z odpowiedzią celu.
Przetestuj tryby przekazywania, które zamierzasz dopuścić
Dla proxy WWW testuj zwykły HTTP i dozwoloną ścieżkę HTTPS CONNECT oddzielnie. Jeśli polityka ogranicza cele, sprawdź dozwolony i kontrolowany cel, który powinien zostać odrzucony. Nie usuwaj kontroli tylko po to, by każdy test przeszedł.
Powtarzaj po zmianie zakresów źródeł, danych logowania, adresów nasłuchu, plików dołączonych lub wersji usługi. Zachowaj razem czas testu, wersję konfiguracji i wyniki, by porównywać późniejsze zmiany z tą samą granicą.
To procedura odbioru, nie twierdzenie, że parser konfiguracji lub jedno żądanie dowodzą zamknięcia wszystkich ścieżek sieciowych.