Ποια IP πελάτη βλέπει ένας γονικός διακομιστής μεσολάβησης;
Ιχνηλατήστε τη διεύθυνση προέλευσης που βλέπει ένας ανάντη διακομιστής μεσολάβησης και κρατήστε τα προωθούμενα μεταδεδομένα πελάτη εντός καθορισμένου ορίου εμπιστοσύνης.
Η προσθήκη ενός σταθμού εργασίας σε λίστα επιτρεπόμενων δεν επιτρέπει κατ' ανάγκη σε έναν νέο καθοδικό διακομιστή μεσολάβησης να συνδεθεί εκ μέρους του:
workstation → local proxy → corporate parent → websiteΟ τοπικός διακομιστής μεσολάβησης ανοίγει νέα σύνδεση προς τον γονικό. Συνήθως ο γονικός βλέπει τη διεύθυνση εξόδου αυτού του διακομιστή, ενδεχομένως μετά από NAT. Η διεύθυνση του αρχικού σταθμού εργασίας δεν γίνεται πηγή της νέας σύνδεσης μόνο και μόνο επειδή ξεκίνησε το συνολικό αίτημα.
Βρείτε την άμεση πηγή που λαμβάνει πράγματι ο γονικός. Εξουσιοδοτήστε τον καθοδικό διακομιστή μόνο για την προβλεπόμενη υπηρεσία και διατηρήστε τους περιορισμούς πελάτη στο καθοδικό στιγμιότυπο. Διαφορετικά ο επιτρεπόμενος μεσάζων μπορεί να δώσει πρόσβαση σε οποιονδήποτε μπορεί να τον προσεγγίσει.
Υπάρχει μια σκόπιμη εξαίρεση στην απλή ερμηνεία του socket-peer. Το Squid 6 και 7 μπορούν να ακολουθούν το X-Forwarded-For από ρητά έμπιστους ομοτίμους και να χρησιμοποιούν την προκύπτουσα έμμεση διεύθυνση πελάτη για επιλεγμένες λειτουργίες. Οι σχετικές ρυθμίσεις καθορίζουν αν ένα ACL προέλευσης χρησιμοποιεί αυτή την παράγωγη ταυτότητα· το src δεν είναι πάντα ο ακατέργαστος ομότιμος όταν η δυνατότητα είναι ενεργή.
Εμπιστευτείτε προωθούμενη ταυτότητα μόνο από μεσάζοντα που την καθαρίζει και την παρέχει σωστά. Ένα αυθαίρετο X-Forwarded-For από τον πελάτη είναι δηλωμένη τιμή, όχι πιστοποιημένη πηγή. Όπου το επιτρέπει η πολιτική, καταγράψτε και τον άμεσο ομότιμο και τον έμπιστο αρχικό πελάτη: ο πρώτος δείχνει ποιος συνδέθηκε στον γονικό, ο δεύτερος ποιον εξυπηρέτησε ο καθοδικός.