Kva klient-IP ser ein overordna proxy?

Å setje ein arbeidsstasjon på ei tillaten liste gir ikkje nødvendigvis ein ny nedstraums proxy løyve til å kople til på hans vegner:

workstation → local proxy → corporate parent → website

Den lokale proxyen opnar ei ny tilkopling til den overordna. Vanlegvis ser den overordna den utgåande adressa til den proxyen, moglegvis etter NAT. Adressa til den opphavlege arbeidsstasjonen blir ikkje kjelda til den nye tilkoplinga berre fordi han starta den samla førespurnaden.

Finn den umiddelbare kjelda som den overordna faktisk tek imot. Autoriser nedstraumsproxyen berre for den tiltenkte tenesta, og hald klientavgrensingar på nedstraumsinstansen. Elles kan det tillatne mellomleddet gje tilgang til alle som kan nå det.

Det finst eit medvite unntak frå den enkle socket-peer-tolkinga. Squid 6 og 7 kan følgje X-Forwarded-For frå eksplisitt betrudde peerar og bruke den resulterande indirekte klientadressa for utvalde funksjonar. Dei relevante innstillingane avgjer om ein kjelde-ACL brukar den avleidde identiteten; src er ikkje alltid den rå peeren når denne funksjonen er slått på.

Stol på videresend identitet berre frå eit mellomledd som reinskar og leverer han rett. Ein vilkårleg X-Forwarded-For frå klienten er ein påstått verdi, ikkje ei autentisert kjelde. Der policyen tillèt det, logg både den umiddelbare peeren og den betrudde opphavlege klienten: den første viser kven som kopla til den overordna, den andre kven nedstraumsen tente.