Overte, že vaše proxy nie je otvorené všetkým
Pred sprístupnením dopredného proxy overte načúvanie, poradie pravidiel, prihlasovacie údaje a skutočné preposielanie z povolených aj odmietnutých zdrojov.
Otestujte hranicu prístupu pred sprístupnením nového dopredného proxy iným sieťam. Úspešná požiadavka zo samotného servera málo dokazuje o možnostiach cudzieho klienta. Použite kontrolovaný cieľ, aby ste zistili, či sa odmietnutá požiadavka skutočne preposlala.
Overte skutočné načúvanie a politiku
Prezrite načúvajúci proces a adresy vrátane IPv6, ak je zapnuté. Odstráňte nechcené ďalšie listenery alebo staré inštancie služby. Sieťový firewall obmedzte na zdroje, ktoré majú službu dosiahnuť.
Potom skontrolujte skutočne načítanú konfiguráciu vrátane zahrnutých súborov. V Squid 6 môže skoršie povolenie zneplatniť neskoršie obmedzenie. V Tinyproxy 1.11.2 odstránenie všetkých riadkov Allow a Deny povolí všetkých klientov. Dante má oddelené klientske a SOCKS pravidlá, takže prijatie TCP spojenia nie je celá politika.
Použite dokumentáciu nainštalovanej verzie. Zmeny direktív v Squid 8 sú dôvodom overiť verziu, nie predpokladať, že známa konfigurácia bola prijatá s rovnakým významom.
Otestujte povolené aj odmietnuté prípady
Ak proxy má vyžadovať schválený zdroj a prihlásenie súčasne, vykonajte túto maticu na vlastných kontrolovaných systémoch:
| Zdroj | Prihlasovacie údaje | Požadovaný výsledok |
|---|---|---|
| Povolený | Platné | Zamýšľaný cieľ dostane požiadavku. |
| Povolený | Chýbajúce alebo nesprávne | Cieľ sa nedosiahne. |
| Nepovolený | Platné alebo chýbajúce | Cieľ sa nedosiahne. |
Dve zariadenia za jedným NAT môžu vyzerať ako rovnaký zdroj. Vyberte miesta testu s rôznymi zdrojovými adresami pri proxy a potvrďte ich v logu. Nepoužívajte nesúvisiace cudzie stroje ani neskenujte služby iných ľudí.
Odmietnutie firewallom nemusí dať žiadnu HTTP odpoveď; odmietnutie aplikáciou môže vrátiť chybu. V oboch prípadoch overte, že kontrolovaný cieľ nedostal zakázanú požiadavku; samotnú chybovú stránku možno zameniť za odpoveď cieľa.
Vyskúšajte režimy preposielania, ktoré chcete povoliť
Pre webové proxy testujte obyčajnú HTTP požiadavku a povolenú cestu HTTPS CONNECT oddelene. Ak politika obmedzuje ciele, testujte povolený a kontrolovaný cieľ, ktorý sa má odmietnuť. Neodstraňujte kontroly iba kvôli úspechu všetkých testov.
Opakujte testy po zmene rozsahov zdrojov, údajov, načúvajúcich adries, zahrnutých súborov alebo verzií služby. Uchovajte spolu čas testu, verziu konfigurácie a výsledky pre kontrolu neskoršej zmeny voči rovnakej hranici.
Ide o preberací postup, nie tvrdenie, že parser konfigurácie alebo jedna požiadavka dokáže uzavretie všetkých sieťových ciest.