Proxy’nizin herkese açık olmadığını kontrol edin
Bir forward proxy’yi açmadan önce izinli ve reddedilen kaynaklardan dinleyiciyi, kural sırasını, kimlik bilgilerini ve gerçek iletimi doğrulayın.
Yeni forward proxy’yi başka ağlardan erişilebilir yapmadan önce erişim sınırını test edin. Sunucunun kendisinden başarılı istek, ilgisiz istemcinin yapabilecekleri hakkında çok az şey kanıtlar. Reddedilen isteğin gerçekten iletilip iletilmediğini görmek için denetlediğiniz hedef kullanın.
Etkin dinleyici ve politikayı kontrol edin
Dinleyen süreç ve adresleri, etkinse IPv6 dahil, inceleyin. İstenmeyen ek dinleyicileri veya eski hizmet örneklerini kaldırın. Ağ güvenlik duvarını hizmete ulaşması gereken kaynaklarla sınırlayın.
Sonra sürecin gerçekten yüklediği yapılandırmayı dahil edilen dosyalarla inceleyin. Squid 6’da önceki bir izin sonraki kısıtlamayı etkisiz kılabilir. Tinyproxy 1.11.2’de bütün Allow ve Deny satırlarını kaldırmak tüm istemcileri kabul eder. Dante’de ayrı istemci ve SOCKS kuralları vardır; TCP bağlantısını kabul etmek bütün politika değildir.
Kurulu sürümün belgelerini kullanın. Squid 8 yönerge değişiklikleri sürümü doğrulama nedenidir, bilinen ayarın aynı anlamla kabul edildiğini varsayma nedeni değil.
İzinli ve reddedilen durumları birlikte test edin
Proxy’nin hem onaylı kaynak hem oturum açma istemesi amaçlanıyorsa, denetiminizdeki sistemlerle bu matrisi çalıştırın:
| Kaynak | Kimlik bilgileri | Gerekli sonuç |
|---|---|---|
| İzinli | Geçerli | Amaçlanan hedef isteği alır. |
| İzinli | Eksik veya yanlış | Hedefe ulaşılmaz. |
| İzinli değil | Geçerli veya eksik | Hedefe ulaşılmaz. |
Aynı NAT arkasındaki iki cihaz aynı kaynak görünebilir. Proxy’de farklı kaynak adresleri olan test yerleri seçin ve günlükten doğrulayın. İlgisiz üçüncü taraf makineler kullanmayın veya başkalarının hizmetlerini taramayın.
Güvenlik duvarı reddi hiç HTTP yanıtı üretmeyebilir; uygulama reddi hata döndürebilir. Her iki durumda da kontrollü hedefin yasak isteği almadığını doğrulayın; hata sayfası tek başına hedef yanıtıyla karışabilir.
İzin vermeyi planladığınız iletim modlarını sınayın
Web proxy’sinde normal HTTP isteğini ve izinli HTTPS CONNECT yolunu ayrı test edin. Hedef kısıtları politika parçasıysa, izinli hedefi ve reddedilmesi gereken kontrollü hedefi sınayın. Her test başarılı olsun diye kontrolleri kaldırmayın.
Kaynak aralıkları, kimlik bilgileri, dinleme adresleri, dahil edilen dosyalar veya hizmet sürümleri değişince tekrar sınayın. Sonraki değişikliği aynı sınıra göre denetlemek için test zamanı, yapılandırma sürümü ve sonuçları birlikte tutun.
Bu bir kabul prosedürüdür; yapılandırma ayrıştırıcısı veya tek isteğin bütün ağ yollarının kapalı olduğunu kanıtlayabildiği iddiası değildir.