Kterou IP adresu klienta vidí nadřazená proxy?

Zařazení pracovní stanice na seznam povolených nutně neznamená, že se nová podřízená proxy smí připojit jejím jménem:

workstation → local proxy → corporate parent → website

Místní proxy otevírá nové připojení k nadřazené proxy. Nadřazená obvykle vidí odchozí adresu této proxy, případně po NAT. Adresa původní pracovní stanice se nestane zdrojem nového připojení jen proto, že zahájila celý požadavek.

Zjistěte bezprostřední zdroj, který nadřazená proxy skutečně přijímá. Povolte podřízené proxy jen zamýšlenou službu a na podřízené instanci zachovejte omezení klientů. Jinak povolený prostředník může poskytnout přístup komukoli, kdo se k němu dostane.

Existuje záměrná výjimka z prostého výkladu socket-peer. Squid 6 a 7 mohou sledovat X-Forwarded-For od výslovně důvěryhodných peerů a použít výslednou nepřímou adresu klienta pro vybrané funkce. Příslušná nastavení rozhodují, zda zdrojová ACL tuto odvozenou identitu používá; src není při zapnuté funkci vždy surový peer.

Přeposílané identitě věřte jen od prostředníka, který ji správně čistí a dodává. Libovolný X-Forwarded-For od klienta je tvrzená hodnota, nikoli ověřený zdroj. Kde to zásady dovolují, logujte jak bezprostředního peera, tak důvěryhodného původního klienta: první určuje, kdo se připojil k nadřazené proxy, druhý, komu podřízená sloužila.