Quina IP de client veu un proxy pare?

Afegir una estació de treball a una llista d'autoritzats no permet necessàriament que un nou proxy descendent es connecti en el seu nom:

workstation → local proxy → corporate parent → website

El proxy local obre una connexió nova cap al pare. Normalment el pare veu l'adreça de sortida d'aquest proxy, possiblement després del NAT. L'adreça de l'estació de treball original no es converteix en l'origen de la connexió nova només perquè hagi iniciat la petició global.

Trobeu l'origen immediat que el pare rep realment. Autoritzeu el proxy descendent només per al servei previst i manteniu les restriccions de client a la instància descendent. Si no, l'intermediari permès pot donar accés a qualsevol que hi pugui arribar.

Hi ha una excepció deliberada a la interpretació simple de socket-peer. Squid 6 i 7 poden seguir X-Forwarded-For de parells explícitament de confiança i utilitzar l'adreça indirecta de client resultant per a funcions seleccionades. La configuració pertinent decideix si una ACL d'origen fa servir aquesta identitat derivada; src no sempre és el parell cru quan aquesta funció està activada.

Confieu en la identitat reenviada només d'un intermediari que la saneja i la proporciona correctament. Un X-Forwarded-For arbitrari proporcionat pel client és un valor afirmat, no una font autenticada. Quan la política ho permeti, registreu tant el parell immediat com el client original de confiança: el primer identifica qui s'ha connectat al pare, el segon a qui ha servit el descendent.