Quelle IP client un proxy parent voit-il ?

Inscrire un poste de travail sur une liste d'autorisation n'autorise pas forcément un nouveau proxy en aval à se connecter en son nom :

workstation → local proxy → corporate parent → website

Le proxy local ouvre une nouvelle connexion vers le parent. Habituellement, le parent voit l'adresse sortante de ce proxy, éventuellement après NAT. L'adresse du poste de travail d'origine ne devient pas la source de la nouvelle connexion simplement parce qu'il a lancé la requête globale.

Identifiez la source immédiate que le parent reçoit réellement. N'autorisez le proxy en aval que pour le service prévu et conservez les restrictions de client sur l'instance en aval. Sinon, l'intermédiaire autorisé peut donner accès à quiconque peut l'atteindre.

Il existe une exception délibérée à l'interprétation simple de pair de socket. Squid 6 et 7 peuvent suivre X-Forwarded-For depuis des pairs explicitement approuvés et utiliser l'adresse client indirecte qui en résulte pour certaines fonctions. Les réglages concernés décident si une ACL de source utilise cette identité dérivée ; src n'est pas toujours le pair brut lorsque cette fonction est activée.

Ne faites confiance à une identité transférée que si l'intermédiaire la nettoie et la fournit correctement. Un X-Forwarded-For arbitraire fourni par le client est une valeur déclarée, pas une source authentifiée. Là où la politique le permet, journalisez à la fois le pair immédiat et le client d'origine approuvé : le premier identifie qui s'est connecté au parent, le second qui le proxy en aval a servi.