Qual IP de cliente um proxy pai vê?

Colocar uma estação de trabalho numa lista de autorizados não autoriza necessariamente um novo proxy a jusante a ligar-se em seu nome:

workstation → local proxy → corporate parent → website

O proxy local abre uma nova ligação ao pai. Normalmente o pai vê o endereço de saída desse proxy, possivelmente após NAT. O endereço da estação de trabalho original não passa a ser a origem da nova ligação só porque iniciou o pedido global.

Identifique a origem imediata que o pai recebe realmente. Autorize o proxy a jusante apenas para o serviço pretendido e mantenha as restrições de cliente na instância a jusante. Caso contrário, o intermediário autorizado pode dar acesso a quem consiga alcançá-lo.

Existe uma exceção deliberada à interpretação simples de socket-peer. O Squid 6 e o 7 podem seguir o X-Forwarded-For de pares explicitamente confiáveis e usar o endereço indireto de cliente resultante para funções selecionadas. As configurações relevantes decidem se uma ACL de origem usa essa identidade derivada; o src nem sempre é o par em bruto quando esta funcionalidade está ativa.

Confie na identidade encaminhada apenas de um intermediário que a limpe e forneça corretamente. Um X-Forwarded-For arbitrário fornecido pelo cliente é um valor declarado, não uma origem autenticada. Onde a política o permitir, registe tanto o par imediato como o cliente original de confiança: o primeiro identifica quem se ligou ao pai, o segundo a quem o a jusante serviu.