Ce IP de client vede un proxy părinte?

Adăugarea unei stații de lucru pe o listă de permisiuni nu permite neapărat unui proxy nou din aval să se conecteze în numele ei:

workstation → local proxy → corporate parent → website

Proxy-ul local deschide o conexiune nouă către părinte. De obicei părintele vede adresa de ieșire a acelui proxy, posibil după NAT. Adresa stației de lucru originale nu devine sursa noii conexiuni doar pentru că a inițiat cererea globală.

Găsiți sursa imediată pe care părintele o primește efectiv. Autorizați proxy-ul din aval doar pentru serviciul prevăzut și păstrați restricțiile de client pe instanța din aval. Altfel intermediarul permis poate oferi acces oricui îl poate atinge.

Există o excepție deliberată de la interpretarea simplă socket-peer. Squid 6 și 7 pot urmări X-Forwarded-For de la parteneri în care se are încredere explicită și pot folosi adresa indirectă de client rezultată pentru funcții selectate. Setările relevante decid dacă un ACL de sursă folosește acea identitate derivată; src nu este întotdeauna partenerul brut când această funcție este activată.

Aveți încredere în identitatea transmisă doar de la un intermediar care o curăță și o furnizează corect. Un X-Forwarded-For arbitrar furnizat de client este o valoare declarată, nu o sursă autentificată. Acolo unde politica permite, înregistrați atât partenerul imediat, cât și clientul original de încredere: primul identifică cine s-a conectat la părinte, al doilea cui i-a servit cel din aval.