Аталық прокси қай клиент IP-ін көреді?
Жоғарғы прокси көретін бастау адресін қадағалаңыз және жіберілген клиент метадеректерін анықталған сенім шекарасында ұстаңыз.
Жұмыс станциясын рұқсат етілгендер тізіміне қосу оның атынан жаңа төменгі проксидің қосылуына міндетті түрде рұқсат бермейді:
workstation → local proxy → corporate parent → websiteЖергілікті прокси аталыққа жаңа қосылым ашады. Әдетте аталық сол проксидің шығыс адресін көреді, мүмкін NAT-тан кейін. Бастапқы жұмыс станциясының адресі жалпы сұранысты бастағаны үшін ғана жаңа қосылымның көзі бола қоймайды.
Аталық шын мәнінде қабылдайтын тікелей көзді табыңыз. Төменгі проксиге тек көзделген қызметке рұқсат беріңіз және төменгі данада клиент шектеулерін сақтаңыз. Әйтпесе рұқсат етілген делдал өзіне қол жеткізе алатын кез келгенге қатынау бере алады.
Қарапайым socket-peer түсіндірмесінен әдейі жасалған ерекшелік бар. Squid 6 және 7 анық сенімді әріптестерден X-Forwarded-For-ды бақылап, алынған жанама клиент адресін таңдалған функциялар үшін пайдалана алады. Тиісті параметрлер бастау ACL осы туынды сәйкестікті қолданатынын шешеді; бұл мүмкіндік қосулы кезде src әрдайым шикі әріптес бола бермейді.
Жіберілген сәйкестікке оны дұрыс тазартып беретін делдалға ғана сеніңіз. Клиент өзі ұсынған кез келген X-Forwarded-For — бұл мәлімделген мән, расталған көз емес. Саясат рұқсат еткен жерде тікелей әріптесті де, сенімді бастапқы клиентті де жазып отырыңыз: біріншісі аталыққа кім қосылғанын, екіншісі төменгі кімге қызмет еткенін көрсетеді.