Pa IP cleient mae prif ddirprwy'n ei weld?

Nid yw rhoi gweithfan ar restr a ganiateir o reidrwydd yn caniatáu i ddirprwy israddol newydd gysylltu ar ei rhan:

workstation → local proxy → corporate parent → website

Mae'r dirprwy lleol yn agor cysylltiad newydd i'r prif ddirprwy. Fel arfer mae'r prif ddirprwy'n gweld cyfeiriad allan y dirprwy hwnnw, efallai ar ôl NAT. Nid yw cyfeiriad y weithfan wreiddiol yn dod yn ffynhonnell y cysylltiad newydd dim ond oherwydd iddi gychwyn y cais cyfan.

Dewch o hyd i'r ffynhonnell uniongyrchol y mae'r prif ddirprwy'n ei derbyn mewn gwirionedd. Awdurdodwch y dirprwy israddol ar gyfer y gwasanaeth a fwriedir yn unig, a chadwch gyfyngiadau cleient ar y fersiwn israddol. Fel arall gall y cyfryngwr a ganiateir roi mynediad i unrhyw un sy'n gallu ei gyrraedd.

Mae eithriad bwriadol i'r dehongliad syml o socked-cyfoed. Gall Squid 6 a 7 ddilyn X-Forwarded-For oddi wrth gyfoedion a ymddiriedir ynddynt yn benodol a defnyddio'r cyfeiriad cleient anuniongyrchol sy'n deillio o hynny ar gyfer swyddogaethau dethol. Mae'r gosodiadau perthnasol yn penderfynu a yw ACL ffynhonnell yn defnyddio'r hunaniaeth ddeilliadol honno; nid yw src bob amser y cyfoed crai pan fydd y nodwedd hon wedi'i galluogi.

Ymddiriedwch mewn hunaniaeth a anfonir ymlaen dim ond oddi wrth gyfryngwr sy'n ei glanhau a'i chyflenwi'n gywir. Mae X-Forwarded-For mympwyol a ddarperir gan gleient yn werth a hawlir, nid yn ffynhonnell wedi'i dilysu. Lle bo polisi'n caniatáu, cofnodwch y cyfoed uniongyrchol a'r cleient gwreiddiol a ymddiriedir: mae'r cyntaf yn nodi pwy gysylltodd â'r prif ddirprwy, mae'r ail yn nodi pwy y gwasanaethodd y dirprwy israddol.