Hvilken klient-IP ser en overordnet proxy?

Å sette en arbeidsstasjon på en tillatt liste gir ikke nødvendigvis en ny nedstrøms proxy lov til å koble til på dens vegne:

workstation → local proxy → corporate parent → website

Den lokale proxyen åpner en ny forbindelse til den overordnede. Vanligvis ser den overordnede den proxyens utgående adresse, muligens etter NAT. Den opprinnelige arbeidsstasjonens adresse blir ikke kilden til den nye forbindelsen bare fordi den startet den samlede forespørselen.

Finn den umiddelbare kilden som den overordnede faktisk mottar. Autoriser nedstrømsproxyen bare for den tiltenkte tjenesten, og behold klientbegrensninger på nedstrømsinstansen. Ellers kan det tillatte mellomleddet gi tilgang til alle som kan nå det.

Det finnes et bevisst unntak fra den enkle socket-peer-tolkningen. Squid 6 og 7 kan følge X-Forwarded-For fra eksplisitt betrodde peers og bruke den resulterende indirekte klientadressen for utvalgte funksjoner. De relevante innstillingene avgjør om en kilde-ACL bruker den avledede identiteten; src er ikke alltid den rå peeren når denne funksjonen er aktivert.

Stol på videresendt identitet bare fra et mellomledd som renser og leverer den riktig. En vilkårlig X-Forwarded-For fra klienten er en påstått verdi, ikke en autentisert kilde. Der policyen tillater det, logg både den umiddelbare peeren og den betrodde opprinnelige klienten: den første viser hvem som koblet til den overordnede, den andre hvem nedstrømsen betjente.