Kontrollera att proxyn inte är öppen för alla
Kontrollera lyssnare, regelordning, inloggningsuppgifter och faktisk vidarebefordran från tillåtna och nekade källor innan en forwardproxy exponeras.
Testa åtkomstgränsen innan en ny forwardproxy blir nåbar från andra nätverk. En lyckad begäran från själva servern bevisar lite om vad en utomstående klient kan göra. Använd ett kontrollerat mål så att du kan avgöra om en nekad begäran faktiskt vidarebefordrades.
Kontrollera verksam lyssnare och policy
Granska lyssnande process och adresser, även IPv6 om aktiverat. Ta bort oavsiktliga extra lyssnare eller gamla tjänsteinstanser. Begränsa nätverksbrandväggen till källor som ska nå tjänsten.
Kontrollera sedan den faktiskt inlästa konfigurationen, inklusive inkluderade filer. I Squid 6 kan ett tidigare tillstånd göra en senare begränsning verkningslös. I Tinyproxy 1.11.2 tillåter borttagning av alla Allow- och Deny-rader alla klienter. Dante har separata klient- och SOCKS-regler, så godkänd TCP-anslutning är inte hela policyn.
Använd dokumentationen för den installerade versionen. Direktivändringarna i Squid 8 motiverar versionskontroll, inte antagandet att en bekant konfiguration accepterades med samma betydelse.
Testa både tillåtna och nekade fall
Om proxyn ska kräva både godkänd källa och inloggning, kör denna matris med system du kontrollerar:
| Källa | Inloggningsuppgifter | Krävt resultat |
|---|---|---|
| Tillåten | Giltiga | Det avsedda målet tar emot begäran. |
| Tillåten | Saknas eller felaktiga | Målet nås inte. |
| Inte tillåten | Giltiga eller saknas | Målet nås inte. |
Två enheter bakom samma NAT kan se ut som samma källa. Välj testplatser med olika källadresser vid proxyn och bekräfta dem i loggarna. Använd inte utomstående tredjeparters maskiner och skanna inte andras tjänster.
Ett brandväggsavslag kan ge inget HTTP-svar alls; ett programavslag kan returnera ett fel. Kontrollera i båda fallen att det kontrollerade målet inte fick den förbjudna begäran; en felsida ensam kan annars förväxlas med ett målsvar.
Prova vidarebefordringslägena som ska tillåtas
För en webbproxy, testa vanlig HTTP och den tillåtna HTTPS-CONNECT-vägen separat. Om policyn begränsar mål, testa ett tillåtet mål och ett kontrollerat mål som ska nekas. Ta inte bort kontroller för att få alla tester att lyckas.
Testa igen efter ändringar av källområden, inloggningsuppgifter, lyssnaradresser, inkluderade filer eller tjänsteversioner. Spara testtid, konfigurationsversion och resultat tillsammans så att senare ändringar kan granskas mot samma gräns.
Detta är ett acceptansförfarande, inte ett påstående att en konfigurationsparser eller en begäran kan bevisa att varje nätverksväg är stängd.