IP klien mana yang dilihat proxy induk?

Memasukkan workstation ke daftar izin tidak otomatis mengizinkan proxy hilir baru terhubung atas namanya:

workstation → local proxy → corporate parent → website

Proxy lokal membuka koneksi baru ke induk. Biasanya induk melihat alamat keluar proxy tersebut, mungkin setelah NAT. Alamat workstation asli tidak menjadi sumber koneksi baru hanya karena ia memulai permintaan keseluruhan.

Temukan sumber langsung yang benar-benar diterima induk. Otorisasi proxy hilir hanya untuk layanan yang dimaksud, dan pertahankan pembatasan klien pada instans hilir. Jika tidak, perantara yang diizinkan dapat memberi akses kepada siapa pun yang dapat menjangkaunya.

Ada pengecualian yang disengaja terhadap tafsiran socket-peer sederhana. Squid 6 dan 7 dapat mengikuti X-Forwarded-For dari peer yang secara eksplisit dipercaya dan menggunakan alamat klien tidak langsung yang dihasilkan untuk fungsi tertentu. Pengaturan terkait menentukan apakah ACL sumber memakai identitas turunan itu; src tidak selalu merupakan peer mentah saat fitur ini diaktifkan.

Percayai identitas yang diteruskan hanya dari perantara yang membersihkan dan menyediakannya dengan benar. X-Forwarded-For sembarang yang diberikan klien adalah nilai yang diklaim, bukan sumber yang terautentikasi. Jika kebijakan mengizinkan, catat baik peer langsung maupun klien asli yang tepercaya: yang pertama menunjukkan siapa yang terhubung ke induk, yang kedua siapa yang dilayani proxy hilir.