Millist kliendi IP-d näeb ülemproksi?
Jälgige allika aadressi, mida näeb ülemvoolu proksi, ja hoidke edastatud kliendi metaandmed määratletud usalduspiiri sees.
Tööjaama lubatud loendisse lisamine ei tähenda tingimata, et uus alamproksi tohib selle nimel ühenduda:
workstation → local proxy → corporate parent → websiteKohalik proksi avab uue ühenduse ülemproksiga. Tavaliselt näeb ülemproksi selle proksi väljuvat aadressi, võimalik et pärast NAT-i. Algse tööjaama aadress ei muutu uue ühenduse allikaks ainult seetõttu, et see algatas kogu päringu.
Leidke otsene allikas, mille ülemproksi tegelikult vastu võtab. Volitage alamproksi ainult kavandatud teenuse jaoks ja säilitage kliendipiirangud alamas eksemplaris. Vastasel juhul võib lubatud vahendaja anda juurdepääsu kõigile, kes selleni jõuavad.
Lihtsal sokli-peer-tõlgendusel on teadlik erand. Squid 6 ja 7 võivad järgida X-Forwarded-For-i selgesõnaliselt usaldusväärsetelt peeridelt ja kasutada saadud kaudset kliendi aadressi valitud funktsioonide jaoks. Asjakohased seaded otsustavad, kas allika ACL kasutab seda tuletatud identiteeti; src ei ole selle funktsiooni korral alati toores peer.
Usaldage edastatud identiteeti ainult vahendajalt, kes seda õigesti puhastab ja edastab. Kliendi poolt esitatud suvaline X-Forwarded-For on väidetud väärtus, mitte autenditud allikas. Kui poliitika lubab, logige nii otsest peeri kui ka usaldusväärset algset klienti: esimene näitab, kes ülemproksiga ühendus, teine, keda alamproksi teenindas.