अभिभावक प्रोक्सीले कुन ग्राहक IP देख्छ?

कुनै वर्कस्टेसनलाई अनुमत सूचीमा राख्नु भनेको त्यसको तर्फबाट नयाँ डाउनस्ट्रिम प्रोक्सीलाई जडान गर्न अनुमति दिनु जरुरी छैन:

workstation → local proxy → corporate parent → website

स्थानीय प्रोक्सीले अभिभावकसँग नयाँ जडान खोल्छ। सामान्यतया अभिभावकले त्यस प्रोक्सीको बाहिर जाने ठेगाना देख्छ, सम्भवतः NAT पछि। मूल वर्कस्टेसनको ठेगाना केवल समग्र अनुरोध सुरु गरेको कारणले नयाँ जडानको स्रोत बन्दैन।

अभिभावकले वास्तवमा प्राप्त गर्ने तत्काल स्रोत पत्ता लगाउनुहोस्। डाउनस्ट्रिम प्रोक्सीलाई मात्र अभिप्रेत सेवाका लागि अधिकृत गर्नुहोस्, र डाउनस्ट्रिम इन्स्टेन्समा ग्राहक प्रतिबन्धहरू कायम राख्नुहोस्। अन्यथा अनुमति प्राप्त मध्यस्थले त्यहाँ पुग्न सक्ने जो कोहीलाई पहुँच दिन सक्छ।

सरल सकेट-पियर व्याख्याको एउटा जानाजान गरिएको अपवाद छ। Squid 6 र 7 ले स्पष्ट रूपमा विश्वसनीय पियरहरूबाट X-Forwarded-For पछ्याउन सक्छन् र प्राप्त अप्रत्यक्ष ग्राहक ठेगाना चयनित कार्यहरूका लागि प्रयोग गर्न सक्छन्। सम्बन्धित सेटिङहरूले स्रोत ACL ले त्यो व्युत्पन्न पहिचान प्रयोग गर्छ कि गर्दैन भन्ने निर्धारण गर्छ; यो सुविधा सक्षम हुँदा src सधैं कच्चा पियर हुँदैन।

फर्वार्ड गरिएको पहिचानमा केवल त्यस्तो मध्यस्थबाट भरोसा गर्नुहोस् जसले यसलाई ठीकसँग सफा गरेर उपलब्ध गराउँछ। ग्राहकले आफैं दिएको कुनै पनि X-Forwarded-For दाबी गरिएको मान हो, प्रमाणित स्रोत होइन। जहाँ नीतिले अनुमति दिन्छ, तत्काल पियर र विश्वसनीय मूल ग्राहक दुवै लग गर्नुहोस्: पहिलोले अभिभावकसँग को जोडियो भन्ने देखाउँछ, दोस्रोले डाउनस्ट्रिमले कसलाई सेवा दियो भन्ने देखाउँछ।