کدام IP مشتری را پراکسی والد می‌بیند؟
نشانی مبدأیی را که یک پراکسی بالادست می‌بیند ردیابی کنید و فراداده مشتریِ ارسال‌شده را در محدوده اعتماد تعریف‌شده نگه دارید.
قرار دادن یک ایستگاه کاری در فهرست مجاز لزوماً به پراکسی پایین‌دستی تازه اجازه نمی‌دهد از طرف آن متصل شود:
workstation → local proxy → corporate parent → websiteپراکسی محلی اتصال تازه‌ای به والد باز می‌کند. معمولاً والد نشانی خروجی همان پراکسی را می‌بیند، شاید پس از NAT. نشانی ایستگاه کاری اصلی تنها به این دلیل که درخواست کلی را آغاز کرده، مبدأ اتصال تازه نمی‌شود.
مبدأ بی‌واسطه‌ای را که والد واقعاً دریافت می‌کند پیدا کنید. پراکسی پایین‌دستی را فقط برای سرویس موردنظر مجاز کنید و محدودیت‌های مشتری را روی نمونه پایین‌دستی نگه دارید. در غیر این صورت واسط مجاز می‌تواند به هر کسی که به آن دسترسی دارد، دسترسی بدهد.
یک استثنای عمدی بر تفسیر ساده همتا-سوکت وجود دارد. Squid 6 و 7 می‌توانند X-Forwarded-For را از همتاهای صریحاً مورد اعتماد دنبال کنند و نشانی غیرمستقیم مشتریِ حاصل را برای کارکردهای برگزیده به کار ببرند. تنظیمات مربوط تعیین می‌کند که آیا ACL مبدأ از آن هویت مشتق‌شده استفاده می‌کند؛ وقتی این ویژگی فعال است، src همیشه همتای خام نیست.
به هویت ارسال‌شده فقط از واسطی اعتماد کنید که آن را درست پاک‌سازی و ارائه می‌کند. هر X-Forwarded-For دلبخواه که مشتری ارائه دهد یک مقدار ادعاشده است، نه مبدأ احرازشده. جایی که سیاست اجازه می‌دهد، هم همتای بی‌واسطه و هم مشتری اصلی مورد اعتماد را ثبت کنید: اولی نشان می‌دهد چه کسی به والد متصل شده، دومی نشان می‌دهد پایین‌دستی به چه کسی خدمت کرده است.