親プロキシはどのクライアント IP を見るのか

ワークステーションを許可リストに入れても、新しい下流プロキシがその代理で接続できるとは限りません。

workstation → local proxy → corporate parent → website

ローカルプロキシは親への新しい接続を開きます。通常、親が見るのはそのプロキシの送信元アドレスであり、NAT を経ている場合もあります。元のワークステーションのアドレスが、要求全体を開始したという理由だけで新しい接続の送信元になるわけではありません。

親が実際に受け取る直近の送信元を特定してください。下流プロキシには意図したサービスだけを許可し、下流インスタンス側のクライアント制限も維持します。そうしないと、許可された中継者が、そこへ到達できる誰にでもアクセスを与えてしまいます。

単純なソケットピアの解釈には意図的な例外があります。Squid 6 と 7 は明示的に信頼したピアからの X-Forwarded-For を追跡し、得られた間接的なクライアントアドレスを選択された機能に使えます。関連する設定が、送信元 ACL でその派生した識別子を使うかどうかを決めます。この機能が有効なとき、src が常に生のピアとは限りません。

転送された識別子は、正しく無害化して提供する中継者からのみ信頼してください。クライアントが勝手に付けた X-Forwarded-For は主張された値であり、認証された送信元ではありません。ポリシーが許す場合は、直近のピアと信頼された元のクライアントの両方を記録します。前者は誰が親に接続したかを、後者は下流が誰にサービスしたかを示します。