Kontrolloni që proxy juaj nuk është i hapur për të gjithë
Para ekspozimit të proxy-t përcjellës kontrolloni dëgjuesin, radhën e rregullave, kredencialet dhe përcjelljen reale nga burime të lejuara e të mohuara.
Provoni kufirin e aksesit para se proxy i ri përcjellës të bëhet i arritshëm nga rrjete të tjera. Një kërkesë e suksesshme nga vetë serveri provon pak për aftësitë e një klienti të jashtëm. Përdorni destinacion të kontrolluar që të dalloni nëse kërkesa e mohuar u përcoll vërtet.
Kontrolloni dëgjuesin dhe politikën efektive
Inspektoni procesin dhe adresat dëgjuese, përfshirë IPv6 nëse është aktiv. Hiqni dëgjuesit shtesë të paqëllimtë ose instancat e vjetra. Kufizoni murin mbrojtës të rrjetit te burimet që duhet të arrijnë shërbimin.
Pastaj kontrolloni konfigurimin realisht të ngarkuar, përfshirë skedarët e përfshirë. Në Squid 6 lejimi i hershëm mund të bëjë kufizimin e mëvonshëm pa efekt. Në Tinyproxy 1.11.2 heqja e të gjitha rreshtave Allow dhe Deny lejon çdo klient. Dante ka rregulla klienti dhe SOCKS të ndara, ndaj pranimi i lidhjes TCP nuk është gjithë politika.
Përdorni dokumentacionin e versionit të instaluar. Ndryshimet e direktivave Squid 8 janë arsye për kontroll versioni, jo për të supozuar se konfigurimi i njohur u pranua me të njëjtin kuptim.
Provoni rastet e lejuara dhe të mohuara
Nëse proxy duhet të kërkojë njëkohësisht burim të miratuar dhe hyrje në llogari, provoni këtë matricë me sisteme nën kontrollin tuaj:
| Burimi | Kredencialet | Rezultati i kërkuar |
|---|---|---|
| I lejuar | Të vlefshme | Destinacioni i synuar merr kërkesën. |
| I lejuar | Mungojnë ose të gabuara | Destinacioni nuk arrihet. |
| I palejuar | Të vlefshme ose mungojnë | Destinacioni nuk arrihet. |
Dy pajisje pas një NAT mund të duken si i njëjti burim. Zgjidhni vende prove me adresa burimi të ndryshme te proxy dhe konfirmojini në regjistra. Mos përdorni makina të palëve të treta të palidhura dhe mos skanoni shërbime të të tjerëve.
Mohimi i murit mbrojtës mund të mos prodhojë përgjigje HTTP; mohimi i aplikacionit mund të kthejë gabim. Në të dy rastet verifikoni se objektivi i kontrolluar nuk mori kërkesën e ndaluar; vetëm faqja e gabimit mund të ngatërrohet me përgjigjen e destinacionit.
Provoni mënyrat e përcjelljes që synoni të lejoni
Për proxy uebi, provoni HTTP të zakonshëm dhe rrugën HTTPS CONNECT të lejuar më vete. Nëse politika kufizon destinacione, provoni një të lejuar dhe një të kontrolluar që duhet mohuar. Mos hiqni kontrollet thjesht për të pasur sukses në çdo provë.
Riprovoni pas ndryshimit të diapazoneve burimore, kredencialeve, adresave dëgjuese, skedarëve të përfshirë ose versioneve. Mbajini bashkë kohën e testit, versionin e konfigurimit dhe rezultatet për të kontrolluar ndryshime të mëvonshme ndaj të njëjtit kufi.
Kjo është procedurë pranimi, jo pohim se analizuesi i konfigurimit apo një kërkesë provojnë mbylljen e çdo rruge rrjeti.