Quale IP client vede un proxy padre?

Inserire una workstation in un elenco di autorizzati non consente necessariamente a un nuovo proxy a valle di connettersi per suo conto:

workstation → local proxy → corporate parent → website

Il proxy locale apre una nuova connessione verso il padre. Di solito il padre vede l'indirizzo in uscita di quel proxy, eventualmente dopo NAT. L'indirizzo della workstation originale non diventa l'origine della nuova connessione solo perché ha avviato la richiesta complessiva.

Individua l'origine immediata che il padre riceve davvero. Autorizza il proxy a valle solo per il servizio previsto e mantieni le restrizioni client sull'istanza a valle. Altrimenti l'intermediario autorizzato può dare accesso a chiunque possa raggiungerlo.

Esiste un'eccezione deliberata all'interpretazione semplice di socket-peer. Squid 6 e 7 possono seguire X-Forwarded-For da peer esplicitamente attendibili e usare l'indirizzo client indiretto risultante per funzioni selezionate. Le impostazioni pertinenti decidono se un ACL di origine usa quell'identità derivata; src non è sempre il peer grezzo quando questa funzione è abilitata.

Fidati dell'identità inoltrata solo da un intermediario che la ripulisce e la fornisce correttamente. Un X-Forwarded-For arbitrario fornito dal client è un valore dichiarato, non un'origine autenticata. Dove la policy lo consente, registra sia il peer immediato sia il client originale attendibile: il primo indica chi si è connesso al padre, il secondo chi ha servito il proxy a valle.