Koju IP adresu klijenta vidi nadređeni proxy?

Stavljanje radne stanice na listu dozvoljenih ne znači nužno da novi nizvodni proxy sme da se poveže u njeno ime:

workstation → local proxy → corporate parent → website

Lokalni proxy otvara novu vezu prema nadređenom. Obično nadređeni vidi odlaznu adresu tog proxyja, moguće nakon NAT-a. Adresa izvorne radne stanice ne postaje izvor nove veze samo zato što je pokrenula ceo zahtev.

Pronađite neposredni izvor koji nadređeni zaista prima. Odobrite nizvodni proxy samo za predviđenu uslugu i zadržite ograničenja klijenata na nizvodnoj instanci. Inače dozvoljeni posrednik može dati pristup svakome ko može do njega doći.

Postoji namerni izuzetak od jednostavnog tumačenja socket-peera. Squid 6 i 7 mogu pratiti X-Forwarded-For od izričito pouzdanih peerova i koristiti rezultujuću neizravnu adresu klijenta za odabrane funkcije. Odgovarajuće postavke odlučuju da li izvorni ACL koristi taj izvedeni identitet; src nije uvek sirovi peer kada je ova funkcija omogućena.

Verujte prosleđenom identitetu samo od posrednika koji ga ispravno pročišćava i dostavlja. Proizvoljni X-Forwarded-For koji dostavi klijent je tvrđena vrednost, a ne autentifikovani izvor. Gde politika dozvoljava, beležite i neposredni peer i pouzdanog izvornog klijenta: prvi pokazuje ko se povezao na nadređeni, drugi kome je nizvodni služio.