Проверьте, что ваш прокси не открыт для всех
До публикации прямого прокси проверьте слушатель, порядок правил, учётные данные и реальное перенаправление из разрешённых и запрещённых источников.
Проверьте границу доступа до открытия нового прямого прокси другим сетям. Успешный запрос с самого сервера почти ничего не говорит о возможностях постороннего клиента. Используйте контролируемое назначение, чтобы определить, был ли запрещённый запрос реально перенаправлен.
Проверьте действующий слушатель и политику
Изучите прослушивающий процесс и адреса, включая IPv6, если он включён. Удалите непреднамеренные дополнительные слушатели или старые экземпляры сервиса. Ограничьте сетевой экран источниками, которым нужен доступ к сервису.
Затем проверьте действительно загруженную конфигурацию, включая подключаемые файлы. В Squid 6 раннее разрешение может обесценить позднее ограничение. В Tinyproxy 1.11.2 удаление всех строк Allow и Deny разрешает всех клиентов. У Dante отдельные клиентские и SOCKS-правила, поэтому допуск TCP-соединения — не вся политика.
Используйте документацию установленной версии. Изменения директив Squid 8 — повод проверить версию, а не считать, что знакомая конфигурация была принята с тем же смыслом.
Проверьте разрешённые и запрещённые случаи
Если прокси должен требовать одновременно одобренный источник и вход, выполните эту матрицу на системах под вашим контролем:
| Источник | Учётные данные | Требуемый результат |
|---|---|---|
| Разрешён | Верные | Назначение получает запрос. |
| Разрешён | Отсутствуют или неверны | Назначение не достигнуто. |
| Не разрешён | Верные или отсутствуют | Назначение не достигнуто. |
Два устройства за одним NAT могут выглядеть одним источником. Выберите места тестирования с разными исходными адресами у прокси и подтвердите их в журнале. Не используйте посторонние машины третьих лиц и не сканируйте чужие сервисы.
Запрет межсетевого экрана может не дать HTTP-ответа вообще; запрет приложения может вернуть ошибку. В обоих случаях проверьте, что контролируемая цель не получила запрещённый запрос: одну лишь страницу ошибки можно спутать с ответом назначения.
Проверьте предполагаемые разрешённые режимы перенаправления
Для веб-прокси отдельно проверьте обычный HTTP-запрос и разрешённый путь HTTPS CONNECT. Если политика ограничивает назначения, проверьте разрешённое и контролируемое назначение, которое должно быть отклонено. Не убирайте ограничения только ради успеха всех тестов.
Повторяйте проверки после изменений исходных диапазонов, учётных данных, адресов слушателей, подключаемых файлов или версий сервиса. Храните время теста, версию конфигурации и результаты вместе для проверки будущих изменений на той же границе.
Это процедура приёмки, а не утверждение, что парсер конфигурации или один запрос способны доказать закрытие каждого сетевого пути.