Kiểm thử egress proxy: CONNECT tunnel, xác thực và failover

Test phải chứng minh user/workload nào được đi tới destination nào, qua cơ chế nào và bị log ra sao. Tách DNS, proxy discovery, authentication, TCP/TLS setup, HTTP transaction và ứng dụng; một mã 200 sau CONNECT chỉ xác nhận tunnel đã hình thành.

Định nghĩa expected action cho allow, deny, challenge, inspect, bypass và direct-fallback. Với non-browser client, xác minh hỗ trợ proxy environment variable, certificate trust và authentication scheme thực tế.

Lab gồm client theo nhiều OS/runtime, DNS, PAC/WPAD nếu có, proxy A/B, identity provider, TLS inspection CA, Internet service giả lập và đường direct được kiểm soát. Capture phía client, trước/sau proxy; thu access/policy/auth log và resource telemetry.

Tách control plane quản trị khỏi data path. Nếu dùng cloud proxy/SSE, ghi tunnel/agent/PoP và vùng. Tạo đích theo category, hostname, IP literal, port, TLS version và certificate condition để tránh test một website duy nhất.

Ghi explicit hay transparent mode, PAC version/cache, proxy chain, authentication scheme, session lifetime, identity mapping và policy order. Với TLS, khóa inspect/bypass rule, CA chain, certificate validation, SNI/hostname policy, TLS version và ALPN.

Traffic profile phải nêu connection rate, concurrency, request/object size, upload/download mix, destination diversity, keep-alive và HTTP version. Mạng cần kiểm soát RTT, jitter, packet loss, MTU và bandwidth; backend giả lập phải có baseline độc lập.

KPI · Đo lường · Bằng chứng Policy correctness · Expected action so với actual · Policy ID + access log Auth success · Challenge/login/session · Client + IdP log Transaction success · Hoàn tất nội dung đúng · Client hash/status Added latency · Direct baseline so với proxy · Phase timestamps Throughput/session rate · Theo object và concurrency · Raw generator result Failover recovery · Fault → transaction ổn định · Timeline + sequence

Thêm false allow, false block, bypass rate, TLS error, CPU/memory, queue và connection pool. Pass/fail phải gắn identity, destination class và điều kiện tải; không dùng “web works” làm tiêu chí.

Case · Kỳ vọng · Rủi ro User đúng quyền · Allow/inspect · Identity mapping sai User bị hạn chế · Deny có log · False allow API non-browser · Auth/tunnel đúng · 407 loop Certificate lỗi · Block theo policy · Fail-open IP literal/port lạ · Theo rule rõ · Bypass policy Proxy A lỗi · Sang B trong budget · Session reset/storm PAC/IdP lỗi · Hành vi đã duyệt · Direct fallback ngoài ý muốn

Mỗi case kiểm tra response phía client và policy log phía proxy. Negative test cần vô hại, dùng đích lab; không truy cập nội dung cấm thật để “chứng minh” block.

Pha functional chạy ma trận identity–destination–action. Pha protocol kiểm tra HTTP, HTTPS CONNECT, WebSocket/gRPC nếu được hỗ trợ và non-browser runtime. Pha load tăng connection/session/object size theo bậc.

Pha fault ngắt proxy node, IdP, PAC server, upstream DNS và WAN; pha soak tìm session leak, cache drift và log loss. Mỗi run lưu policy/config hash, PAC, certificate chain, access/auth log, pcap và raw result.

Với CONNECT, đo thời gian challenge, tunnel setup và TLS handshake bên trong. Nếu proxy giải mã TLS, kiểm tra certificate do proxy cấp, hostname, chain và policy bypass; không mặc nhiên kết luận mọi ứng dụng certificate-pinning đều tương thích.

Failover phải đo cả connection mới và session dài đang tồn tại. Xác minh DNS/PAC/agent không tạo reconnect storm, proxy B có policy đồng nhất và log không mất. Nếu thiết kế cho phép direct fallback, giới hạn destination/time và chứng minh audit trail.

• [ ] Chốt identity, destination class, expected action và log evidence.
• [ ] Ghi proxy/PAC/agent/policy/certificate version.
• [ ] Chạy direct baseline trên đích lab.
• [ ] Kiểm tra allow, deny, auth, inspect và bypass.
• [ ] Thử browser, API client và runtime đại diện.
• [ ] Tăng connection/concurrency/object size từng bậc.
• [ ] Gây lỗi proxy, IdP, PAC, DNS và WAN từng biến.
• [ ] Xác minh session cũ, kết nối mới, policy và log sau failover.
• [ ] Lưu config hash, pcap, client output và proxy log.

Kết quả chỉ áp dụng cho client/runtime, identity, policy, TLS mode, destination mix và topology đã thử. Một domain allow không đại diện subdomain/CDN/IP thay đổi; một browser thành công không đại diện agent hoặc API client.

Không so hiệu năng hai proxy nếu khác TLS inspection, cache, logging hoặc upstream path. Khả năng HTTP/2, HTTP/3, WebSocket và certificate pinning cần xác nhận theo version sản phẩm và ứng dụng.

• Egress proxy: Trung gian kiểm soát lưu lượng đi ra.
• CONNECT: HTTP method yêu cầu proxy tạo tunnel tới host/port.
• 407: Phản hồi yêu cầu proxy authentication.
• TLS inspection: Proxy kết thúc và tái tạo TLS để kiểm tra nội dung.
• PAC: Tệp quyết định proxy cho từng URL/host.
• Fail-open/fail-close: Cho phép hoặc chặn khi thành phần kiểm soát lỗi.
• Policy ID: Định danh rule dùng để giải thích quyết định.