أي عنوان IP للعميل يرى الوسيط الأب؟
تتبَّع عنوان المصدر الذي يراه الوسيط الأعلى واحفظ بيانات العميل الممرَّرة داخل حدود ثقة محددة.
إدراج محطة عمل في قائمة السماح لا يعني بالضرورة السماح لوسيط لاحق جديد بالاتصال نيابةً عنها:
workstation → local proxy → corporate parent → websiteيفتح الوسيط المحلي اتصالاً جديداً بالوسيط الأب. وفي الحالة العادية يرى الأب عنوان الخروج لذلك الوسيط، وربما بعد NAT. ولا يصبح عنوان محطة العمل الأصلية مصدرًا للاتصال الجديد لمجرد أنها بدأت الطلب الكلي.
حدِّد المصدر المباشر الذي يتلقاه الأب فعلاً. واصرح للوسيط اللاحق بالخدمة المقصودة فقط، واحتفظ بقيود العميل على النسخة اللاحقة. وإلا فقد يمنح الوسيط المسموح به الوصول إلى أي جهة تستطيع الوصول إليه.
ثمة استثناء مقصود لتفسير النظير البسيط للمقبس. يستطيع Squid 6 و7 تتبُّع X-Forwarded-For من نظراء موثوقين صراحةً واستخدام عنوان العميل غير المباشر الناتج لوظائف مختارة. وتحدد الإعدادات المعنية ما إذا كانت قائمة تحكم المصدر تستخدم تلك الهوية المشتقة؛ فـ src ليس دائمًا النظير الخام عند تفعيل هذه الميزة.
لا تثق بالهوية الممرَّرة إلا من وسيط ينقّيها ويقدمها على نحو صحيح. فقيمة X-Forwarded-For التي يقدمها العميل اعتباطًا هي قيمة مُدّعاة وليست مصدرًا موثَّقًا. وحيث تسمح السياسة، سجِّل النظير المباشر والعميل الأصلي الموثوق معًا: الأول يحدد من اتصل بالأب، والثاني من خدمه الوسيط اللاحق.