Que IP de cliente ve un proxy principal?

Incluír unha estación de traballo nunha lista de permitidos non autoriza necesariamente a un novo proxy descendente a conectarse no seu nome:

workstation → local proxy → corporate parent → website

O proxy local abre unha nova conexión co principal. Normalmente o principal ve o enderezo de saída dese proxy, posiblemente despois do NAT. O enderezo da estación de traballo orixinal non se converte na orixe da nova conexión só porque iniciase a solicitude global.

Localiza a orixe inmediata que o principal recibe realmente. Autoriza o proxy descendente só para o servizo previsto e mantén as restricións de cliente na instancia descendente. Se non, o intermediario permitido pode dar acceso a calquera que poida alcanzalo.

Hai unha excepción deliberada á interpretación simple de socket-peer. Squid 6 e 7 poden seguir X-Forwarded-For de pares explicitamente de confianza e usar o enderezo indirecto de cliente resultante para funcións seleccionadas. Os axustes correspondentes deciden se unha ACL de orixe usa esa identidade derivada; src non sempre é o par en bruto cando esta función está activada.

Confía na identidade reenviada só dun intermediario que a depure e a forneza correctamente. Un X-Forwarded-For arbitrario proporcionado polo cliente é un valor declarado, non unha orixe autenticada. Cando a política o permita, rexistra tanto o par inmediato como o cliente orixinal de confianza: o primeiro identifica quen se conectou ao principal, o segundo a quen serviu o descendente.