Проксі закрито. Чому запити все ще надходять?
Відрізняйте тривалі спроби з'єднання від успішного несанкціонованого переправлення після посилення доступу до проксі.
Запити, що продовжують надходити, не доводять, що сторонні все ще можуть користуватися проксі. Старі кінцеві точки можуть залишатися в списках запитів після зміни політики доступу. Перевірте виправлення за тим, що переправляється:
- Надішліть дозволені та заборонені запити до контрольованого призначення.
- Прочитайте рішення про доступ і, для Squid, поля ієрархії у налаштованому форматі журналу.
- Встановіть, чи заборонений запит справді дійшов до призначення. Прийняти TCP, відхилити запит HTTP і завершити наступний запит — різні наслідки.
- Перевірте інші активні слухачі та віртуальні хости, щоб виправлений блок політики не залишив відкритим інший вхід.
Для Apache, призначеного лише для зворотних відображень, підтвердьте, що ненавмисне пряме проксіювання вимкнено. ProxyRequests Off може існувати разом із ProxyPass.
Сама лише сторінка помилки — слабший доказ, якщо ви не знаєте, який компонент її створив. Тримайте разом результат клієнта, рішення проксі та спостереження на призначенні.
Якщо відхилений трафік усе ще споживає ресурси, звужте мережевий доступ і керуйте швидкостями та збереженням журналів. Немає надійного періоду очікування, після якого спроби мають припинитися; правильні рішення про переправлення і є критерієм приймання.