Koji IP adresu klijenta vidi nadređeni proxy?

Stavljanje radne stanice na popis dopuštenih ne znači nužno da se novi nizvodni proxy smije povezati u njezino ime:

workstation → local proxy → corporate parent → website

Lokalni proxy otvara novu vezu prema nadređenom. Obično nadređeni vidi odlaznu adresu tog proxyja, moguće nakon NAT-a. Adresa izvorne radne stanice ne postaje izvorom nove veze samo zato što je pokrenula cijeli zahtjev.

Pronađite neposredni izvor koji nadređeni zaista prima. Odobrite nizvodni proxy samo za predviđenu uslugu i zadržite ograničenja klijenata na nizvodnoj instanci. Inače dopušteni posrednik može dati pristup svakome tko do njega može doći.

Postoji namjerna iznimka od jednostavnog tumačenja socket-peera. Squid 6 i 7 mogu pratiti X-Forwarded-For od izričito pouzdanih peerova i koristiti rezultirajuću neizravnu adresu klijenta za odabrane funkcije. Odgovarajuće postavke odlučuju koristi li izvorni ACL taj izvedeni identitet; src nije uvijek sirovi peer kada je ta značajka omogućena.

Vjerujte proslijeđenom identitetu samo od posrednika koji ga ispravno pročišćava i dostavlja. Proizvoljni X-Forwarded-For koji dostavi klijent jest tvrđena vrijednost, a ne autentificirani izvor. Gdje politika dopušta, bilježite i neposredni peer i pouzdanog izvornog klijenta: prvi pokazuje tko se povezao na nadređeni, drugi kome je nizvodni služio.