Proverite da proxy nije otvoren svima
Pre izlaganja izlaznog proxyja proverite osluškivač, redosled pravila, pristupne podatke i stvarno prosleđivanje iz dozvoljenih i odbijenih izvora.
Testirajte granicu pristupa pre nego novi izlazni proxy postane dostupan drugim mrežama. Uspešan zahtev sa samog servera malo dokazuje o mogućnostima nepovezanog klijenta. Koristite kontrolisano odredište kako biste znali da li je odbijeni zahtev zaista prosleđen.
Proverite stvarni osluškivač i politiku
Pregledajte proces i adrese za osluškivanje, uključujući IPv6 ako je uključen. Uklonite nenamerne dodatne osluškivače ili stare instance usluge. Mrežni zaštitni zid ograničite na izvore koji treba da dosegnu uslugu.
Zatim pregledajte stvarno učitanu konfiguraciju, uključujući uključene datoteke. U Squidu 6 ranije dopuštenje može učiniti kasnije ograničenje nebitnim. U Tinyproxyju 1.11.2 uklanjanje svih redova Allow i Deny dopušta sve klijente. Dante ima zasebna klijentska i SOCKS pravila, pa prihvatanje TCP veze nije cela politika.
Koristite dokumentaciju instalirane verzije. Promene direktiva u Squidu 8 razlog su za proveru verzije, ne za pretpostavku da je poznata konfiguracija prihvaćena s istim značenjem.
Testirajte dozvoljene i odbijene slučajeve
Ako proxy treba da zahteva i odobren izvor i prijavu, provedite ovu matricu na sistemima pod vlastitom kontrolom:
| Izvor | Pristupni podaci | Potrebni ishod |
|---|---|---|
| Dozvoljen | Važeći | Predviđeno odredište prima zahtev. |
| Dozvoljen | Nedostaju ili su pogrešni | Odredište nije dosegnuto. |
| Nedozvoljen | Važeći ili nedostaju | Odredište nije dosegnuto. |
Dva uređaja iza jednog NAT-a mogu izgledati kao isti izvor. Odaberite testne lokacije s različitim izvornim adresama kod proxyja i potvrdite ih u dnevnicima. Ne koristite nepovezane tuđe mašine niti skenirajte tuđe usluge.
Odbijanje zaštitnog zida možda neće dati HTTP odgovor; odbijanje aplikacije može vratiti grešku. U oba slučaja proverite da kontrolisano odredište nije primilo zabranjeni zahtev; sama stranica greške može se zameniti s odgovorom odredišta.
Isprobajte načine prosleđivanja koje nameravate dopustiti
Za web proxy odvojeno testirajte običan HTTP i dozvoljeni HTTPS CONNECT put. Ako politika ograničava odredišta, testirajte dozvoljeno i kontrolisano odredište koje treba biti odbijeno. Ne uklanjajte kontrole samo da svaki test uspe.
Ponovite nakon promena izvornih raspona, pristupnih podataka, adresa osluškivanja, uključenih datoteka ili verzija usluge. Čuvajte vreme testa, verziju konfiguracije i rezultate zajedno radi provere kasnije promene prema istoj granici.
Ovo je postupak prihvatanja, ne tvrdnja da parser konfiguracije ili jedan zahtev dokazuju zatvorenost svakog mrežnog puta.