איזו כתובת IP של לקוח רואה פרוקסי אב?

הוספת תחנת עבודה לרשימת המורשים אינה מאשרת בהכרח לפרוקסי במורד חדש להתחבר בשמה:

workstation → local proxy → corporate parent → website

הפרוקסי המקומי פותח חיבור חדש אל האב. בדרך כלל האב רואה את כתובת היציאה של אותו פרוקסי, לעיתים לאחר NAT. הכתובת של תחנת העבודה המקורית אינה הופכת למקור של החיבור החדש רק משום שהיא יזמה את הבקשה הכוללת.

אתרו את המקור המיידי שהאב מקבל בפועל. אשרו לפרוקסי במורד רק את השירות המיועד, ושמרו את הגבלות הלקוח במופע שבמורד. אחרת המתווך המורשה יכול להעניק גישה לכל מי שמסוגל להגיע אליו.

ישנו חריג מכוון לפרשנות הפשוטה של socket-peer. ‏Squid 6 ו-7 יכולים לעקוב אחר X-Forwarded-For מפירים מהימנים במפורש ולהשתמש בכתובת הלקוח העקיפה הנובעת מכך עבור פונקציות נבחרות. ההגדרות הרלוונטיות קובעות אם ACL של מקור משתמש בזהות הנגזרת הזו; src אינו תמיד הפיר הגולמי כשתכונה זו מופעלת.

סמכו על זהות מועברת רק מתווך שמנקה ומספק אותה כראוי. ‏X-Forwarded-For שרירותי שמספק הלקוח הוא ערך נטען, לא מקור מאומת. היכן שהמדיניות מאפשרת, רשמו ביומן גם את הפיר המיידי וגם את הלקוח המקורי המהימן: הראשון מזהה מי התחבר לאב, השני למי שירת הפרוקסי שבמורד.