상위 프록시는 어떤 클라이언트 IP를 보는가?

워크스테이션을 허용 목록에 넣는다고 해서 새 하위 프록시가 그 워크스테이션을 대신해 연결할 수 있는 것은 아닙니다.

workstation → local proxy → corporate parent → website

로컬 프록시는 상위 프록시로 새 연결을 엽니다. 보통 상위 프록시가 보는 것은 해당 프록시의 나가는 주소이며, NAT를 거친 주소일 수 있습니다. 원래 워크스테이션의 주소가 전체 요청을 시작했다는 이유만으로 새 연결의 소스가 되지는 않습니다.

상위 프록시가 실제로 받는 직전 소스를 확인하십시오. 하위 프록시에는 의도한 서비스만 허용하고 하위 인스턴스의 클라이언트 제한도 유지하십시오. 그렇지 않으면 허용된 중간자가 자신에 접근할 수 있는 누구에게나 접근을 제공할 수 있습니다.

단순한 소켓 피어 해석에는 의도된 예외가 있습니다. Squid 6과 7은 명시적으로 신뢰하는 피어의 X-Forwarded-For를 따르고 그 결과로 나온 간접 클라이언트 주소를 선택된 기능에 사용할 수 있습니다. 관련 설정이 소스 ACL에서 그 파생 신원을 사용할지 결정합니다. 이 기능이 켜져 있을 때 src 가 항상 원시 피어인 것은 아닙니다.

전달된 신원은 이를 올바르게 정화해 제공하는 중간자로부터만 신뢰하십시오. 클라이언트가 임의로 제공한 X-Forwarded-For는 주장된 값일 뿐 인증된 소스가 아닙니다. 정책이 허용하는 경우 직전 피어와 신뢰된 원래 클라이언트를 모두 기록하십시오. 전자는 누가 상위 프록시에 연결했는지, 후자는 하위 프록시가 누구에게 서비스했는지를 보여 줍니다.