Welk client-IP ziet een bovenliggende proxy?

Een werkstation op een toegestane lijst zetten geeft een nieuwe downstream-proxy niet automatisch toestemming om namens dat station te verbinden:

workstation → local proxy → corporate parent → website

De lokale proxy opent een nieuwe verbinding naar de bovenliggende proxy. Meestal ziet de bovenliggende het uitgaande adres van die proxy, mogelijk na NAT. Het adres van het oorspronkelijke werkstation wordt niet de bron van de nieuwe verbinding alleen omdat het het totale verzoek startte.

Bepaal de directe bron die de bovenliggende proxy daadwerkelijk ontvangt. Sta de downstream-proxy alleen toe voor de bedoelde dienst en behoud clientbeperkingen op de downstream-instantie. Anders kan de toegestane tussenlaag toegang geven aan iedereen die hem kan bereiken.

Er is een bewuste uitzondering op de eenvoudige socket-peer-interpretatie. Squid 6 en 7 kunnen X-Forwarded-For volgen van expliciet vertrouwde peers en het resulterende indirecte clientadres voor geselecteerde functies gebruiken. De relevante instellingen bepalen of een bron-ACL die afgeleide identiteit gebruikt; src is niet altijd de ruwe peer wanneer deze functie is ingeschakeld.

Vertrouw doorgestuurde identiteit alleen van een tussenlaag die deze correct opschoont en aanlevert. Een willekeurige X-Forwarded-For van de client is een beweerde waarde, geen geauthenticeerde bron. Waar het beleid dit toestaat, log zowel de directe peer als de vertrouwde oorspronkelijke client: de eerste geeft aan wie met de bovenliggende proxy verbond, de tweede wie de downstream bediende.