Watter kliënt-IP sien 'n ouer-proxy?

Om 'n werkstasie op 'n toelatingslys te plaas, beteken nie noodwendig dat 'n nuwe afstroom-proxy namens hom mag verbind nie:

workstation → local proxy → corporate parent → website

Die plaaslike proxy maak 'n nuwe verbinding na die ouer. Gewoonlik sien die ouer daardie proxy se uitgaande adres, moontlik ná NAT. Die oorspronklike werkstasie se adres word nie die nuwe verbinding se bron bloot omdat dit die oorspronklike versoek begin het nie.

Vind die onmiddellike bron wat die ouer werklik ontvang. Magtig die afstroom-proxy slegs vir die beoogde diens, en behou kliëntbeperkings op die afstroom-instansie. Anders kan die toegelate tussenparty toegang verleen aan enigiemand wat dit kan bereik.

Daar is 'n doelbewuste uitsondering op die eenvoudige socket-peer-interpretasie. Squid 6 en 7 kan X-Forwarded-For volg vanaf eksplisiet vertroude peers en die gevolglike indirekte kliëntadres vir geselekteerde funksies gebruik. Die betrokke instellings bepaal of 'n bron-ACL daardie afgeleide identiteit gebruik; src is nie altyd die rou peer wanneer hierdie funksie geaktiveer is nie.

Vertrou oorgedraagde identiteit slegs van 'n tussenganger wat dit behoorlik saneer en verskaf. 'n Willekeurige X-Forwarded-For wat die kliënt verskaf, is 'n beweerde waarde, nie 'n geauthentiseerde bron nie. Waar beleid dit toelaat, teken beide die onmiddellike peer en die vertroude oorspronklike kliënt aan: die eerste dui aan wie aan die ouer verbind het, die tweede wie die afstroom bedien het.