Hvilken klient-IP ser en overordnet proxy?

At sætte en arbejdsstation på en tilladelsesliste giver ikke nødvendigvis en ny nedstrøms proxy lov til at forbinde på dens vegne:

workstation → local proxy → corporate parent → website

Den lokale proxy åbner en ny forbindelse til den overordnede. Normalt ser den overordnede den proxies udgående adresse, muligvis efter NAT. Den oprindelige arbejdsstations adresse bliver ikke den nye forbindelses kilde, blot fordi den startede den samlede anmodning.

Find den umiddelbare kilde, som den overordnede faktisk modtager. Godkend kun nedstrømsproxyen til den tilsigtede tjeneste, og behold klientbegrænsninger på nedstrømsinstansen. Ellers kan det tilladte mellemled give adgang til enhver, der kan nå det.

Der er en bevidst undtagelse fra den enkle socket-peer-fortolkning. Squid 6 og 7 kan følge X-Forwarded-For fra eksplicit betroede peers og bruge den resulterende indirekte klientadresse til udvalgte funktioner. De relevante indstillinger afgør, om en kilde-ACL bruger den afledte identitet; src er ikke altid den rå peer, når denne funktion er aktiveret.

Stol kun på videresendt identitet fra et mellemled, der renser og leverer den korrekt. En vilkårlig X-Forwarded-For fra klienten er en påstået værdi, ikke en godkendt kilde. Hvor politikken tillader det, log både den umiddelbare peer og den betroede oprindelige klient: den første angiver, hvem der forbandt til den overordnede, den anden hvem nedstrømsen betjente.