Која клиентска IP адреса ја гледа родителскиот прокси?
Следете ја изворната адреса што ја гледа горното прокси и држете ги препратените метаподатоци за клиентот во дефинирана граница на доверба.
Ставањето работна станица на список на дозволени не значи нужно дека ново долно прокси смее да се поврзе во нејзино име:
workstation → local proxy → corporate parent → websiteЛокалното прокси отвора нова врска кон родителското. Обично родителското ја гледа излезната адреса на тоа прокси, можно е по NAT. Адресата на првобитната работна станица не станува извор на новата врска само затоа што го започнала целото барање.
Најдете го непосредниот извор што родителското прокси навистина го прима. Дозволете му на долното прокси само предвидената услуга и задржете ги ограничувањата за клиентите на долната инстанца. Инаку дозволениот посредник може да даде пристап на секој што може да го достигне.
Постои намерен исклучок од едноставното толкување на socket-peer. Squid 6 и 7 можат да го следат X-Forwarded-For од експлицитно доверливи партнери и да ја користат добиената индиректна клиентска адреса за избрани функции. Соодветните поставки одлучуваат дали изворниот ACL ја користи таа изведена идентичност; src не е секогаш суровиот партнер кога оваа функција е вклучена.
Верувајте на препратена идентичност само од посредник што ја чисти и доставува правилно. Произволен X-Forwarded-For доставен од клиентот е тврдена вредност, а не автентификуван извор. Каде што политиката дозволува, логирајте ги и непосредниот партнер и доверливиот оригинален клиент: првиот покажува кој се поврзал со родителското, вториот — кому му служело долното.