पैरेंट प्रॉक्सी कौन-सा क्लाइंट IP देखता है?

किसी वर्कस्टेशन को अनुमत सूची में डालना ज़रूरी नहीं कि उसकी ओर से नई डाउनस्ट्रीम प्रॉक्सी को कनेक्ट करने की अनुमति दे:

workstation → local proxy → corporate parent → website

स्थानीय प्रॉक्सी पैरेंट के साथ नया कनेक्शन खोलती है। आम तौर पर पैरेंट उस प्रॉक्सी का आउटगोइंग पता देखता है, संभवतः NAT के बाद। मूल वर्कस्टेशन का पता केवल इसलिए नए कनेक्शन का स्रोत नहीं बन जाता कि उसने पूरा अनुरोध शुरू किया था।

पैरेंट वास्तव में जो तत्काल स्रोत प्राप्त करता है उसे खोजें। डाउनस्ट्रीम प्रॉक्सी को केवल इच्छित सेवा के लिए अधिकृत करें और डाउनस्ट्रीम इंस्टेंस पर क्लाइंट प्रतिबंध बनाए रखें। अन्यथा अनुमत मध्यस्थ उस तक पहुँच सकने वाले किसी भी व्यक्ति को पहुँच दे सकता है।

सरल सॉकेट-पीयर व्याख्या का एक जानबूझकर अपवाद है। Squid 6 और 7 स्पष्ट रूप से विश्वसनीय पीयर से X-Forwarded-For का अनुसरण कर सकते हैं और परिणामी अप्रत्यक्ष क्लाइंट पता चयनित कार्यों के लिए उपयोग कर सकते हैं। संबंधित सेटिंग्स तय करती हैं कि स्रोत ACL उस व्युत्पन्न पहचान का उपयोग करता है या नहीं; यह सुविधा सक्षम होने पर src हमेशा कच्चा पीयर नहीं होता।

फ़ॉरवर्ड की गई पहचान पर केवल ऐसे मध्यस्थ से भरोसा करें जो उसे ठीक से साफ़ करके प्रदान करता हो। क्लाइंट द्वारा दिया गया कोई भी मनमाना X-Forwarded-For दावा किया गया मान है, प्रमाणित स्रोत नहीं। जहाँ नीति अनुमति दे, तत्काल पीयर और विश्वसनीय मूल क्लाइंट दोनों लॉग करें: पहला बताता है कि कौन पैरेंट से जुड़ा, दूसरा बताता है कि डाउनस्ट्रीम ने किसकी सेवा की।