Hokker klant-IP sjocht in âlderproxy?
Folgje it boarneadres dat in upstream-proxy sjocht en hâld trochstjoerde klantmetadata binnen in definiearre fertrouwensgrins.
In wurkstasjon op in tastiene list sette jout net needsaaklik in nije downstream-proxy tastimming om yn syn namme te ferbinen:
workstation → local proxy → corporate parent → websiteDe lokale proxy iepenet in nije ferbining nei de âlder. Normaal sjocht de âlder it útgeande adres fan dy proxy, mooglik nei NAT. It adres fan it oarspronklike wurkstasjon wurdt net de boarne fan de nije ferbining allinnich om't it de hiele oanfraach begûn.
Fyn de direkte boarne dy't de âlder eins ûntfangt. Machtigje de downstream-proxy allinnich foar de bedoelde tsjinst en hâld klantbeheiningen op de downstream-eksimplaar. Oars kin de tastiene tuskenpersoan tagong jaan oan elkenien dy't him berikke kin.
Der is in bewuste útsûndering op de ienfâldige socket-peer-ynterpretaasje. Squid 6 en 7 kinne X-Forwarded-For folgje fan eksplisyt fertroude peers en it resultearjende yndirekte klantadres brûke foar selekteare funksjes. De oanbelangjende ynstellings beslute oft in boarne-ACL dy ôflate identiteit brûkt; src is net altyd de rûge peer as dizze funksje oan is.
Fertrou trochstjoerde identiteit allinnich fan in tuskenpersoan dy't it goed suveret en leveret. In willekeurige X-Forwarded-For fan de klant is in bewearde wearde, gjin autentisearre boarne. Wêr't belied it tastiet, logje sawol de direkte peer as de fertroude oarspronklike klant: de earste jout oan wa't oan de âlder ferbûn, de twadde wa't de downstream tsjinne.