Welche Client-IP sieht ein übergeordneter Proxy?

Eine Workstation auf eine Positivliste zu setzen, erlaubt nicht zwangsläufig, dass ein neuer nachgelagerter Proxy in ihrem Namen eine Verbindung aufbaut:

workstation → local proxy → corporate parent → website

Der lokale Proxy öffnet eine neue Verbindung zum übergeordneten Proxy. Üblicherweise sieht dieser die ausgehende Adresse des Proxys, gegebenenfalls nach NAT. Die Adresse der ursprünglichen Workstation wird nicht dadurch zur Quelle der neuen Verbindung, dass sie die Gesamtanfrage ausgelöst hat.

Ermitteln Sie die unmittelbare Quelle, die der übergeordnete Proxy tatsächlich empfängt. Autorisieren Sie den nachgelagerten Proxy nur für den vorgesehenen Dienst und behalten Sie Client-Einschränkungen auf der nachgelagerten Instanz bei. Andernfalls kann der erlaubte Vermittler jedem Zugang verschaffen, der ihn erreichen kann.

Es gibt eine bewusste Ausnahme von der einfachen Socket-Peer-Deutung. Squid 6 und 7 können X-Forwarded-For von ausdrücklich vertrauenswürdigen Peers verfolgen und die daraus abgeleitete indirekte Clientadresse für ausgewählte Funktionen verwenden. Die betreffenden Einstellungen entscheiden, ob eine Quell-ACL diese abgeleitete Identität nutzt; src ist bei aktivierter Funktion nicht immer der rohe Peer.

Vertrauen Sie weitergeleiteter Identität nur von einem Vermittler, der sie korrekt bereinigt und liefert. Ein beliebiger, vom Client gelieferter X-Forwarded-For ist ein behaupteter Wert, keine authentifizierte Quelle. Wo die Richtlinie es erlaubt, protokollieren Sie sowohl den unmittelbaren Peer als auch den vertrauenswürdigen ursprünglichen Client: Ersterer benennt, wer sich mit dem übergeordneten Proxy verbunden hat, Letzterer, wem der nachgelagerte Proxy diente.