¿Qué IP de cliente ve un proxy principal?

Incluir una estación de trabajo en una lista de permitidos no autoriza necesariamente a un nuevo proxy descendente a conectarse en su nombre:

workstation → local proxy → corporate parent → website

El proxy local abre una nueva conexión hacia el principal. Normalmente el principal ve la dirección de salida de ese proxy, posiblemente después del NAT. La dirección de la estación de trabajo original no se convierte en el origen de la nueva conexión solo porque iniciara la solicitud global.

Localice el origen inmediato que el principal recibe realmente. Autorice el proxy descendente solo para el servicio previsto y conserve las restricciones de cliente en la instancia descendente. De lo contrario, el intermediario permitido puede dar acceso a cualquiera que pueda alcanzarlo.

Hay una excepción deliberada a la interpretación simple de socket-par. Squid 6 y 7 pueden seguir X-Forwarded-For de pares en los que se confía explícitamente y usar la dirección indirecta de cliente resultante para funciones seleccionadas. Los ajustes correspondientes deciden si una ACL de origen usa esa identidad derivada; src no siempre es el par sin procesar cuando esta función está activada.

Confíe en la identidad reenviada solo de un intermediario que la depure y la aporte correctamente. Un X-Forwarded-For arbitrario proporcionado por el cliente es un valor declarado, no una fuente autenticada. Cuando la política lo permita, registre tanto el par inmediato como el cliente original de confianza: el primero identifica quién se conectó al principal, el segundo a quién sirvió el descendente.