Confira se seu proxy não está aberto a todos
Verifique listener, ordem das regras, credenciais e encaminhamento real a partir de origens permitidas e negadas antes de expor um proxy direto.
Teste o limite de acesso antes de tornar um novo proxy direto acessível a outras redes. Uma requisição bem-sucedida no próprio servidor prova pouco sobre o que um cliente externo pode fazer. Use um destino controlado para saber se uma requisição negada foi realmente encaminhada.
Confira o listener e a política efetivos
Inspecione o processo e os endereços de escuta, incluindo IPv6 se ativo. Remova listeners extras não intencionais ou instâncias antigas do serviço. Limite o firewall de rede às origens que devem alcançar o serviço.
Depois confira a configuração realmente carregada, incluindo arquivos incluídos. No Squid 6, uma permissão anterior pode tornar uma restrição posterior irrelevante. No Tinyproxy 1.11.2, remover todas as linhas Allow e Deny permite todos os clientes. Dante tem regras separadas de cliente e SOCKS, então aceitar a conexão TCP não é toda a política.
Use a documentação da versão instalada. As mudanças de diretivas do Squid 8 são motivo para verificar a versão, não para presumir que uma configuração conhecida foi aceita com o mesmo significado.
Teste os casos permitidos e negados
Se o proxy deve exigir uma origem aprovada e um login, execute esta matriz usando sistemas sob seu controle:
| Origem | Credenciais | Resultado exigido |
|---|---|---|
| Permitida | Válidas | O destino esperado recebe a requisição. |
| Permitida | Ausentes ou incorretas | O destino não é alcançado. |
| Não permitida | Válidas ou ausentes | O destino não é alcançado. |
Dois dispositivos atrás do mesmo NAT podem aparecer como a mesma origem. Escolha locais de teste com endereços de origem diferentes no proxy e confirme-os nos logs. Não use máquinas de terceiros alheios nem escaneie serviços de outras pessoas.
Uma negação do firewall pode não produzir resposta HTTP; uma negação da aplicação pode retornar um erro. Nos dois casos, confirme que o destino controlado não recebeu a requisição proibida; uma página de erro sozinha pode ser confundida com resposta do destino.
Exercite os modos de encaminhamento que pretende permitir
Para um proxy web, teste separadamente HTTP comum e o caminho HTTPS CONNECT permitido. Se a política inclui restrições de destino, teste um permitido e outro controlado que deva ser rejeitado. Não remova os controles só para fazer todo teste passar.
Teste novamente após mudanças nas faixas de origem, credenciais, endereços de escuta, arquivos incluídos ou versões. Guarde juntos horário do teste, versão de configuração e resultados para conferir mudanças futuras contra o mesmo limite.
É um procedimento de aceitação, não uma afirmação de que um parser de configuração ou uma requisição provem que todos os caminhos de rede estão fechados.