代理已经关闭，为什么请求还在到达？
收紧代理访问后，要区分持续不断的连接尝试与成功的未授权转发。
持续到达的请求并不能证明外部人员仍能使用代理。访问策略改变后，旧端点仍可能留在请求列表里。要通过实际转发的内容来验证修复：
- 向受控目标发出获准和未获准的请求。
- 在配置好的日志格式中读取访问判定，以及 Squid 的层级字段。
- 判断被禁止的请求是否真的到达了目标。接受 TCP、拒绝 HTTP 请求和完成后续请求是三种不同的结果。
- 检查其他活跃监听器和虚拟主机，免得修好的策略块又留下另一个入口。
对于只用于反向映射的 Apache，要确认无意开启的正向代理已关闭。ProxyRequests Off 可以与 ProxyPass 并存。
如果不知道是哪个组件生成的，单看错误页面是较弱的证据。把客户端结果、代理判定和目标处观察放在一起。
若被拒绝的流量仍在消耗资源，应缩小网络访问范围，并管理速率与日志保留。不存在尝试必然停止的可信等待期；正确的转发判定才是验收标准。