Kuru klienta IP redz vecākstarpnieks?

Darbstacijas iekļaušana atļauto sarakstā ne vienmēr ļauj jaunam lejupējam starpniekam izveidot savienojumu tās vārdā:

workstation → local proxy → corporate parent → website

Vietējais starpnieks atver jaunu savienojumu ar vecākstarpnieku. Parasti vecākstarpnieks redz šī starpnieka izejošo adresi, iespējams, pēc NAT. Sākotnējās darbstacijas adrese nekļūst par jaunā savienojuma avotu tikai tāpēc, ka tā uzsāka visu pieprasījumu.

Atrodiet tiešo avotu, ko vecākstarpnieks faktiski saņem. Atļaujiet lejupējam starpniekam tikai paredzēto pakalpojumu un saglabājiet klientu ierobežojumus lejupējā instancē. Pretējā gadījumā atļautais starpnieks var piešķirt piekļuvi ikvienam, kas to var sasniegt.

Pastāv apzināts izņēmums no vienkāršās socket-peer interpretācijas. Squid 6 un 7 var sekot X-Forwarded-For no skaidri uzticamiem vienaudžiem un izmantot iegūto netiešo klienta adresi atlasītām funkcijām. Attiecīgie iestatījumi nosaka, vai avota ACL izmanto šo atvasināto identitāti; kad šī funkcija ir iespējota, src ne vienmēr ir neapstrādātais vienaudzis.

Uzticieties pārsūtītajai identitātei tikai no starpnieka, kas to pareizi attīra un nodrošina. Patvaļīgs klienta sniegts X-Forwarded-For ir apgalvota vērtība, nevis autentificēts avots. Kur politika atļauj, reģistrējiet gan tiešo vienaudzi, gan uzticamo sākotnējo klientu: pirmais norāda, kas pieslēdzās vecākstarpniekam, otrais — kam lejupējais sniedza pakalpojumu.