IP klien yang mana dilihat oleh proksi induk?

Memasukkan stesen kerja ke dalam senarai dibenarkan tidak semestinya membenarkan proksi hiliran baharu menyambung bagi pihaknya:

workstation → local proxy → corporate parent → website

Proksi tempatan membuka sambungan baharu kepada induk. Biasanya induk melihat alamat keluar proksi itu, mungkin selepas NAT. Alamat stesen kerja asal tidak menjadi sumber sambungan baharu semata-mata kerana ia memulakan permintaan keseluruhan.

Cari sumber segera yang benar-benar diterima oleh induk. Benarkan proksi hiliran hanya untuk perkhidmatan yang dimaksudkan, dan kekalkan sekatan klien pada instans hiliran. Jika tidak, perantara yang dibenarkan boleh memberikan akses kepada sesiapa yang boleh mencapainya.

Terdapat pengecualian yang disengajakan kepada tafsiran socket-peer yang mudah. Squid 6 dan 7 boleh mengikut X-Forwarded-For daripada rakan yang dipercayai secara eksplisit dan menggunakan alamat klien tidak langsung yang terhasil untuk fungsi terpilih. Tetapan berkaitan menentukan sama ada ACL sumber menggunakan identiti terbitan itu; src bukan selalu rakan mentah apabila ciri ini didayakan.

Percayai identiti yang dipanjangkan hanya daripada perantara yang membersihkan dan menyediakannya dengan betul. X-Forwarded-For sewenang-wenangnya yang diberikan oleh klien ialah nilai yang didakwa, bukan sumber yang disahkan. Jika dasar membenarkan, log kedua-dua rakan segera dan klien asal yang dipercayai: yang pertama mengenal pasti siapa yang bersambung ke induk, yang kedua siapa yang dilayan oleh hiliran.