Проверите да прокси није отворен свима
Пре излагања излазног проксија проверите ослушкивач, редослед правила, приступне податке и стварно прослеђивање из дозвољених и одбијених извора.
Тестирајте границу приступа пре него нови излазни прокси постане доступан другим мрежама. Успешан захтев са самог сервера мало доказује о могућностима неповезаног клијента. Користите контролисано одредиште како бисте знали да ли је одбијени захтев заиста прослеђен.
Проверите стварни ослушкивач и политику
Прегледајте процес и адресе за ослушкивање, укључујући IPv6 ако је укључен. Уклоните ненамерне додатне ослушкиваче или старе инстанце услуге. Мрежни заштитни зид ограничите на изворе који треба да досегну услугу.
Затим прегледајте стварно учитану конфигурацију, укључујући укључене датотеке. У Squid-у 6 раније допуштење може учинити касније ограничење небитним. У Tinyproxy-ју 1.11.2 уклањање свих редова Allow и Deny допушта све клијенте. Dante има засебна клијентска и SOCKS правила, па прихватање TCP везе није цела политика.
Користите документацију инсталиране верзије. Промене директива у Squid-у 8 разлог су за проверу верзије, не за претпоставку да је позната конфигурација прихваћена са истим значењем.
Тестирајте дозвољене и одбијене случајеве
Ако прокси треба да захтева и одобрен извор и пријаву, спроведите ову матрицу на системима под сопственом контролом:
| Извор | Приступни подаци | Потребни исход |
|---|---|---|
| Дозвољен | Важећи | Предвиђено одредиште прима захтев. |
| Дозвољен | Недостају или су погрешни | Одредиште није досегнуто. |
| Недозвољен | Важећи или недостају | Одредиште није досегнуто. |
Два уређаја иза једног NAT-а могу изгледати као исти извор. Одаберите тестне локације са различитим изворним адресама код проксија и потврдите их у дневницима. Не користите неповезане туђе машине нити скенирајте туђе услуге.
Одбијање заштитног зида можда неће дати HTTP одговор; одбијање апликације може вратити грешку. У оба случаја проверите да контролисано одредиште није примило забрањени захтев; сама страница грешке може се заменити са одговором одредишта.
Испробајте начине прослеђивања које намеравате допустити
За веб прокси одвојено тестирајте обичан HTTP и дозвољени HTTPS CONNECT пут. Ако политика ограничава одредишта, тестирајте дозвољено и контролисано одредиште које треба бити одбијено. Не уклањајте контроле само да сваки тест успе.
Поновите након промена изворних распона, приступних података, адреса ослушкивања, укључених датотека или верзија услуге. Чувајте време теста, верзију конфигурације и резултате заједно ради провере касније промене према истој граници.
Ово је поступак прихватања, не тврдња да парсер конфигурације или један захтев доказују затвореност сваког мрежног пута.