Які IP-адрас кліента бачыць бацькоўскі проксі?
Прасочвайце адрас крыніцы, які бачыць вышэйшы проксі, і трымайце перададзеныя метаданыя кліента ў вызначаных межах даверу.
Унясенне працоўнай станцыі ў спіс дазволеных не азначае, што новы ніжэйшы проксі можа падключыцца ад яе імя:
workstation → local proxy → corporate parent → websiteЛакальны проксі адкрывае новае злучэнне да бацькоўскага. Звычайна бацькоўскі бачыць зыходны адрас гэтага проксі, магчыма, пасля NAT. Адрас зыходнай працоўнай станцыі не становіцца крыніцай новага злучэння толькі таму, што яна ініцыявала агульны запыт.
Знайдзіце непасрэдную крыніцу, якую бацькоўскі проксі фактычна атрымлівае. Дазваляйце ніжэйшаму проксі толькі патрэбную паслугу і захоўвайце абмежаванні кліентаў на ніжэйшым экзэмпляры. Інакш дазволены пасярэднік можа даць доступ любому, хто можа да яго дабрацца.
Існуе наўмыснае выключэнне з простага тлумачэння суседа па сокеце. Squid 6 і 7 могуць ісці за X-Forwarded-For ад яўна давераных суседзяў і выкарыстоўваць атрыманы ўскосны адрас кліента для выбраных функцый. Адпаведныя налады вырашаюць, ці выкарыстоўвае ACL крыніцы гэтую вытворную асобу; src не заўсёды зыходны сусед, калі гэтая функцыя ўключана.
Давярайце перададзенай асобе толькі ад пасярэдніка, які правільна яе ачышчае і падае. Адвольны X-Forwarded-For, прадстаўлены кліентам, — гэта заяўленае значэнне, а не аўтэнтыфікаваная крыніца. Дзе палітыка дазваляе, запісвайце і непасрэднага суседа, і даверанага першапачатковага кліента: першы паказвае, хто падключыўся да бацькоўскага, другі — каму служыў ніжэйшы.