Wéi eng Client-IP gesäit en Iwwerproxy?

Eng Workstation op eng Erlaabneslëscht ze setzen erlaabt net onbedéngt engem neien ënneschten Proxy, sech a sengem Numm ze verbannen:

workstation → local proxy → corporate parent → website

De lokale Proxy mécht eng nei Verbindung zum Iwwerproxy op. Normalerweis gesäit den Iwwerproxy d'Ausgangsadress vun deem Proxy, eventuell no NAT. D'Adress vun der ursprénglecher Workstation gëtt net d'Quell vun der neier Verbindung just well se d'Gesamtufro gestart huet.

Fannt déi direkt Quell, déi den Iwwerproxy tatsächlech kritt. Autoriséiert den ënneschten Proxy nëmme fir de virgesiwwenen Déngscht, a behält d'Clientrestriktiounen op der ënneschter Instanz. Soss kann den erlaabene Vermëttler jidderengem Zougang ginn, deen en erreeche kann.

Et gëtt eng bewosst Ausnam vun der einfacher Socket-Peer-Interpretatioun. Squid 6 an 7 kënnen X-Forwarded-For vun ausdrécklech vertraute Peeren suivéieren an déi doraus entstinn indirekt Clientadress fir ausgewielte Funktioune benotzen. Déi betreffend Astellungen entscheeden, ob eng Quell-ACL déi ofgeleet Identitéit benotzt; src ass net ëmmer de rohe Peer, wann dës Funktioun aktiv ass.

Vertraut weidergeleeter Identitéit nëmme vun engem Vermëttler, deen se richteg sanéiert a liwwert. En arbiträren X-Forwarded-For vum Client ass e behaapte Wäert, keng authentifizéiert Quell. Wou d'Politik et erlaabt, loggt souwuel de direkte Peer wéi och den vertraute urspréngleche Client: deen éischten identifizéiert, wien sech mam Iwwerproxy verbonnen huet, deen zweeten, wiem den ënneschten gedéngt huet.