Перевірте, що ваш проксі не відкритий для всіх
До відкриття прямого проксі перевірте слухача, порядок правил, облікові дані й реальне пересилання з дозволених і заборонених джерел.
Перевірте межу доступу до відкриття нового прямого проксі іншим мережам. Успішний запит із самого сервера майже нічого не доводить про можливості стороннього клієнта. Використовуйте контрольоване призначення, щоб з’ясувати, чи заборонений запит справді переслали.
Перевірте чинний слухач і політику
Огляньте процес і адреси прослуховування, зокрема IPv6, якщо ввімкнено. Приберіть ненавмисні додаткові слухачі чи старі екземпляри сервісу. Обмежте мережевий екран джерелами, що мають досягати сервісу.
Потім перевірте справді завантажену конфігурацію, включно з підключеними файлами. У Squid 6 попередній дозвіл може знецінити пізніше обмеження. У Tinyproxy 1.11.2 видалення всіх рядків Allow і Deny дозволяє всіх клієнтів. Dante має окремі клієнтські та SOCKS-правила, тож допуск TCP-з’єднання — не вся політика.
Використовуйте документацію встановленої версії. Зміни директив Squid 8 — причина перевірити версію, а не вважати, що знайому конфігурацію прийняли з тим самим значенням.
Перевірте дозволені й заборонені випадки
Якщо проксі має одночасно вимагати схвалене джерело та вхід, виконайте цю матрицю на контрольованих вами системах:
| Джерело | Облікові дані | Потрібний результат |
|---|---|---|
| Дозволене | Дійсні | Призначення отримує запит. |
| Дозволене | Відсутні чи хибні | Призначення не досягнуто. |
| Недозволене | Дійсні чи відсутні | Призначення не досягнуто. |
Два пристрої за одним NAT можуть виглядати одним джерелом. Оберіть місця тесту з різними адресами джерел у проксі й підтвердьте їх у журналі. Не використовуйте сторонні чужі машини та не скануйте чужі сервіси.
Заборона мережевого екрана може зовсім не дати HTTP-відповіді; відмова застосунку може повернути помилку. В обох випадках перевірте, що контрольована ціль не отримала забороненого запиту: саму сторінку помилки можна сплутати з відповіддю призначення.
Перевірте режими пересилання, які збираєтеся дозволити
Для вебпроксі окремо перевірте звичайний HTTP-запит і дозволений шлях HTTPS CONNECT. Якщо політика обмежує призначення, перевірте дозволене й контрольоване призначення, яке має бути відхилене. Не прибирайте контроль лише заради успіху всіх тестів.
Повторюйте перевірки після змін діапазонів джерел, облікових даних, адрес слухачів, підключених файлів чи версій сервісу. Зберігайте час тесту, версію конфігурації та результати разом для порівняння майбутніх змін із тією самою межею.
Це процедура приймання, а не твердження, що парсер конфігурації чи один запит доводять закриття всіх мережевих шляхів.