Melyik ügyfél-IP-t látja a fölérendelt proxy?

Egy munkaállomás engedélyezési listára vétele nem feltétlenül engedélyezi, hogy egy új alsóbb proxy a nevében kapcsolódjon:

workstation → local proxy → corporate parent → website

A helyi proxy új kapcsolatot nyit a fölérendelt felé. A fölérendelt rendszerint a proxy kimenő címét látja, esetleg NAT után. Az eredeti munkaállomás címe nem lesz az új kapcsolat forrása csak azért, mert elindította a teljes kérést.

Keresse meg a közvetlen forrást, amelyet a fölérendelt ténylegesen fogad. Csak a szándékolt szolgáltatásra engedélyezze az alsóbb proxyt, és tartsa meg az ügyfélkorlátozásokat az alsóbb példányon. Ellenkező esetben az engedélyezett közvetítő hozzáférést adhat mindenkinek, aki el tudja érni.

Az egyszerű socket-peer értelmezésnek van egy szándékos kivétele. A Squid 6 és 7 képes követni az X-Forwarded-For fejlécet kifejezetten megbízható partnerektől, és a keletkező közvetett ügyfélcímet kiválasztott funkciókhoz használni. A vonatkozó beállítások döntik el, hogy egy forrás-ACL használja-e ezt a származtatott identitást; src nem mindig a nyers partner, ha ez a funkció be van kapcsolva.

Csak olyan közvetítő továbbított identitásában bízzon, amely megfelelően tisztítja és szolgáltatja azt. Az ügyfél által önkényesen megadott X-Forwarded-For állított érték, nem hitelesített forrás. Ahol a szabályzat engedi, naplózza mind a közvetlen partnert, mind a megbízható eredeti ügyfelet: az első megmondja, ki kapcsolódott a fölérendelthez, a második, kit szolgált ki az alsóbb.