Preverite, da vaš proxy ni odprt vsem
Pred izpostavitvijo posredovalnega proxyja preverite poslušalnik, vrstni red pravil, poverilnice in dejansko posredovanje iz dovoljenih ter zavrnjenih virov.
Preizkusite mejo dostopa, preden nov posredovalni proxy dosežejo druga omrežja. Uspešna zahteva s strežnika samega malo pove o možnostih nepovezanega odjemalca. Uporabite nadzorovan cilj, da ugotovite, ali je bila zavrnjena zahteva dejansko posredovana.
Preverite dejanski poslušalnik in politiko
Preglejte poslušajoči proces in naslove, tudi IPv6, če je vključen. Odstranite nenamerne dodatne poslušalnike in stare primerke storitve. Omrežni požarni zid omejite na vire, ki naj storitev dosežejo.
Nato preverite res naloženo konfiguracijo, tudi vključene datoteke. V Squid 6 lahko prejšnje dovoljenje izniči poznejšo omejitev. V Tinyproxy 1.11.2 odstranitev vseh vrstic Allow in Deny dovoli vse odjemalce. Dante ima ločena pravila odjemalca in SOCKS, zato sprejem povezave TCP ni celotna politika.
Uporabite dokumentacijo nameščene različice. Spremembe direktiv Squid 8 so razlog za preverjanje različice, ne za domnevo, da je znana konfiguracija sprejeta z istim pomenom.
Preizkusite dovoljene in zavrnjene primere
Če naj proxy zahteva odobren vir in prijavo hkrati, izvedite to matriko s sistemi pod svojim nadzorom:
| Vir | Poverilnice | Zahtevan rezultat |
|---|---|---|
| Dovoljen | Veljavne | Predvideni cilj prejme zahtevo. |
| Dovoljen | Manjkajoče ali napačne | Cilj ni dosežen. |
| Nedovoljen | Veljavne ali manjkajoče | Cilj ni dosežen. |
Dve napravi za enim NAT se lahko kažeta kot isti vir. Izberite testna mesta z različnimi izvornimi naslovi pri proxyju in jih potrdite v dnevnikih. Ne uporabljajte nepovezanih tujih naprav in ne pregledujte storitev drugih ljudi.
Zavrnitev požarnega zidu lahko ne vrne nobenega odgovora HTTP; zavrnitev aplikacije lahko vrne napako. V obeh primerih preverite, da nadzorovani cilj ni prejel prepovedane zahteve; stran napake sama se lahko zamenja z odgovorom cilja.
Preizkusite načine posredovanja, ki jih želite dovoliti
Za spletni proxy testirajte navaden HTTP in dovoljeno pot HTTPS CONNECT ločeno. Če politika omejuje cilje, testirajte dovoljen cilj ter nadzorovan cilj, ki mora biti zavrnjen. Ne odstranjujte nadzora samo za uspeh vseh testov.
Testirajte znova po spremembah obsegov virov, poverilnic, poslušajočih naslovov, vključenih datotek ali različic. Hranite čas testa, različico konfiguracije in rezultate skupaj, da bodo poznejše spremembe preverljive glede na isto mejo.
To je prevzemni postopek, ne trditev, da razčlenjevalnik konfiguracije ali ena zahteva dokaže zaprtje vseh omrežnih poti.