Kokį kliento IP mato pagrindinis tarpinis serveris?
Stebėkite šaltinio adresą, kurį mato viršutinis tarpinis serveris, ir laikykite persiunčiamus kliento metaduomenis apibrėžtoje pasitikėjimo riboje.
Darbo stoties įtraukimas į leidžiamų sąrašą nebūtinai leidžia naujam žemutiniam tarpiniam serveriui jungtis jos vardu:
workstation → local proxy → corporate parent → websiteVietinis tarpinis serveris atidaro naują ryšį su pagrindiniu. Paprastai pagrindinis mato to tarpinio serverio išeinantį adresą, galbūt po NAT. Pradinės darbo stoties adresas netampa naujo ryšio šaltiniu vien todėl, kad ji inicijavo visą užklausą.
Raskite tiesioginį šaltinį, kurį pagrindinis tikrai gauna. Leiskite žemutiniam tarpiniam serveriui tik numatytą paslaugą ir išlaikykite klientų apribojimus žemutinėje instancijoje. Priešingu atveju leidžiamas tarpininkas gali suteikti prieigą kiekvienam, kuris gali jį pasiekti.
Yra tyčinė paprasto socket-peer aiškinimo išimtis. Squid 6 ir 7 gali sekti X-Forwarded-For iš aiškiai patikimų partnerių ir naudoti gautą netiesioginį kliento adresą pasirinktoms funkcijoms. Atitinkami nustatymai sprendžia, ar šaltinio ACL naudoja tą išvestinį tapatumą; kai ši funkcija įjungta, src ne visada yra neapdorotas partneris.
Persiunčiamu tapatumu pasitikėkite tik tuo tarpininku, kuris jį tinkamai išvalo ir pateikia. Savavališkas kliento pateiktas X-Forwarded-For yra teigiama reikšmė, o ne autentifikuotas šaltinis. Kai politika leidžia, registruokite ir tiesioginį partnerį, ir patikimą pradinį klientą: pirmasis nurodo, kas prisijungė prie pagrindinio, antrasis – kam žemutinis teikė paslaugą.