Koji IP adresu klijenta vidi nadređeni proxy?
Pratite izvornu adresu koju vidi uzvodni proxy i držite proslijeđene metapodatke klijenta unutar definisane granice povjerenja.
Stavljanje radne stanice na listu dozvoljenih ne znači nužno da novi nizvodni proxy smije da se poveže u njeno ime:
workstation → local proxy → corporate parent → websiteLokalni proxy otvara novu vezu prema nadređenom. Obično nadređeni vidi odlaznu adresu tog proxyja, moguće nakon NAT-a. Adresa izvorne radne stanice ne postaje izvor nove veze samo zato što je pokrenula cijeli zahtjev.
Pronađite neposredni izvor koji nadređeni zaista prima. Odobrite nizvodni proxy samo za predviđenu uslugu i zadržite ograničenja klijenata na nizvodnoj instanci. Inače dozvoljeni posrednik može dati pristup svakome ko može do njega doći.
Postoji namjerni izuzetak od jednostavnog tumačenja socket-partnera. Squid 6 i 7 mogu pratiti X-Forwarded-For od izričito pouzdanih partnera i koristiti rezultirajuću neizravnu adresu klijenta za odabrane funkcije. Odgovarajuće postavke odlučuju koristi li izvorni ACL taj izvedeni identitet; src nije uvijek sirovi partner kada je ova funkcija omogućena.
Vjerujte proslijeđenom identitetu samo od posrednika koji ga ispravno pročišćava i dostavlja. Proizvoljni X-Forwarded-For koji dostavi klijent je tvrđena vrijednost, a ne autentificirani izvor. Gdje politika dozvoljava, bilježite i neposrednog partnera i pouzdanog izvornog klijenta: prvi pokazuje ko se povezao na nadređeni, drugi kome je nizvodni služio.