Verificați că proxy-ul nu este deschis tuturor

Testați limita de acces înainte ca un proxy direct nou să fie accesibil din alte rețele. O cerere reușită de pe serverul însuși dovedește puțin despre posibilitățile unui client străin. Folosiți o destinație controlată ca să știți dacă o cerere refuzată a fost totuși redirecționată.

Verificați ascultarea și politica efective

Inspectați procesul și adresele de ascultare, inclusiv IPv6 dacă este activ. Eliminați ascultători suplimentari nedoriți sau instanțe vechi. Limitați firewallul de rețea la sursele care trebuie să ajungă la serviciu.

Apoi inspectați configurația încărcată efectiv, inclusiv fișierele incluse. În Squid 6 o permisiune anterioară poate anula o restricție ulterioară. În Tinyproxy 1.11.2 eliminarea tuturor liniilor Allow și Deny permite toți clienții. Dante are reguli distincte pentru client și SOCKS, deci acceptarea conexiunii TCP nu este întreaga politică.

Folosiți documentația versiunii instalate. Schimbările directivelor Squid 8 sunt motiv de verificare a versiunii, nu de presupus că o configurație cunoscută a fost acceptată cu același sens.

Testați cazurile permise și refuzate

Dacă proxy-ul trebuie să ceară simultan sursă aprobată și autentificare, rulați această matrice cu sisteme controlate de voi:

Două dispozitive în spatele aceluiași NAT pot apărea ca aceeași sursă. Alegeți locații de test cu adrese sursă diferite la proxy și confirmați-le în jurnale. Nu folosiți mașini ale unor terți fără legătură și nu scanați serviciile altora.

Un refuz de firewall poate să nu producă răspuns HTTP; un refuz al aplicației poate întoarce eroare. În ambele cazuri verificați că ținta controlată nu a primit cererea interzisă; pagina de eroare singură poate fi confundată cu un răspuns al destinației.

Exersați modurile de redirecționare pe care doriți să le permiteți

Pentru un proxy web, testați separat HTTP obișnuit și calea HTTPS CONNECT permisă. Dacă politica restricționează destinații, testați una permisă și una controlată ce ar trebui refuzată. Nu scoateți controalele doar pentru reușita fiecărui test.

Retestați după schimbări ale intervalelor sursă, acreditărilor, adreselor de ascultare, fișierelor incluse sau versiunilor. Păstrați împreună ora testului, versiunea configurației și rezultatele pentru verificarea schimbărilor ulterioare la aceeași limită.

Aceasta este o procedură de acceptare, nu afirmația că un analizor de configurație ori o cerere pot dovedi închiderea fiecărei căi de rețea.