প্যারেন্ট প্রক্সি কোন ক্লায়েন্ট IP দেখে?

একটি ওয়ার্কস্টেশন অনুমোদিত তালিকায় রাখা মানেই তার পক্ষে নতুন ডাউনস্ট্রিম প্রক্সিকে সংযোগ করার অনুমতি নয়:

workstation → local proxy → corporate parent → website

স্থানীয় প্রক্সি প্যারেন্টের সাথে নতুন সংযোগ খোলে। সাধারণত প্যারেন্ট সেই প্রক্সির বহির্গামী ঠিকানা দেখে, সম্ভবত NAT-এর পরে। মূল ওয়ার্কস্টেশনের ঠিকানা কেবল সামগ্রিক অনুরোধ শুরু করার কারণে নতুন সংযোগের উৎস হয়ে ওঠে না।

প্যারেন্ট প্রকৃতপক্ষে যে তাৎক্ষণিক উৎস পায় তা খুঁজে বের করুন। ডাউনস্ট্রিম প্রক্সিকে কেবল উদ্দিষ্ট পরিষেবার জন্য অনুমোদন দিন এবং ডাউনস্ট্রিম ইনস্ট্যান্সে ক্লায়েন্ট নিষেধাজ্ঞা রাখুন। নইলে অনুমোদিত মধ্যস্থতা এটিতে পৌঁছাতে পারে এমন যে কারও জন্য প্রবেশাধিকার দিতে পারে।

সরল সকেট-পিয়ার ব্যাখ্যার একটি ইচ্ছাকৃত ব্যতিক্রম আছে। Squid 6 ও 7 স্পষ্টভাবে বিশ্বস্ত পিয়ার থেকে X-Forwarded-For অনুসরণ করে নির্বাচিত কার্যের জন্য প্রাপ্ত পরোক্ষ ক্লায়েন্ট ঠিকানা ব্যবহার করতে পারে। সংশ্লিষ্ট সেটিংস নির্ধারণ করে উৎস ACL সেই উৎপন্ন পরিচয় ব্যবহার করে কি না; এই বৈশিষ্ট্য সক্রিয় থাকলে src সর্বদা কাঁচা পিয়ার নয়।

প্রেরিত পরিচয় কেবল এমন মধ্যস্থতার কাছ থেকে বিশ্বাস করুন যে তা সঠিকভাবে পরিশোধন করে সরবরাহ করে। ক্লায়েন্টের নিজে দেওয়া যেকোনো X-Forwarded-For দাবি করা মান, প্রমাণিত উৎস নয়। নীতি অনুমতি দিলে তাৎক্ষণিক পিয়ার ও বিশ্বস্ত মূল ক্লায়েন্ট উভয়ই লগ করুন: প্রথমটি বলে কে প্যারেন্টে সংযোগ করেছে, দ্বিতীয়টি বলে ডাউনস্ট্রিম কাকে সেবা দিয়েছে।