Кой клиентски IP вижда родителският прокси?

Добавянето на работна станция в списък с разрешени не означава автоматично, че ново долно прокси може да се свърже от нейно име:

workstation → local proxy → corporate parent → website

Локалното прокси отваря нова връзка към родителското. Обикновено родителското вижда изходящия адрес на това прокси, възможно след NAT. Адресът на първоначалната работна станция не става източник на новата връзка само защото тя е започнала цялата заявка.

Открийте непосредствения източник, който родителското прокси действително получава. Разрешавайте на долното прокси само предназначената услуга и запазете клиентските ограничения върху долния екземпляр. Иначе разрешеният посредник може да даде достъп на всеки, който може да се свърже с него.

Има умишлено изключение от простото тълкуване на сокет-партньора. Squid 6 и 7 могат да следват X-Forwarded-For от изрично доверени партньори и да използват получения косвен клиентски адрес за избрани функции. Съответните настройки решават дали ACL за източник използва тази производна идентичност; src не винаги е суровият партньор, когато тази функция е включена.

Доверявайте се на препратена идентичност само от посредник, който я почиства и предоставя правилно. Произволният X-Forwarded-For, подаден от клиента, е заявена стойност, а не удостоверен източник. Където политиката позволява, записвайте както непосредствения партньор, така и доверения оригинален клиент: първият показва кой се е свързал с родителското, вторият — на кого е служило долното.