Ktorú IP adresu klienta vidí nadradené proxy?

Zaradenie pracovnej stanice do zoznamu povolených neznamená nutne, že sa nové podradené proxy smie pripojiť jej menom:

workstation → local proxy → corporate parent → website

Miestne proxy otvára nové pripojenie k nadradenému. Zvyčajne nadradené vidí odchádzajúcu adresu tohto proxy, prípadne po NAT. Adresa pôvodnej pracovnej stanice sa nestane zdrojom nového pripojenia len preto, že začala celú požiadavku.

Zistite bezprostredný zdroj, ktorý nadradené proxy skutočne prijíma. Povoľte podradenému proxy iba zamýšľanú službu a na podradenej inštancii zachovajte obmedzenia klientov. Inak povolený sprostredkovateľ môže dať prístup komukoľvek, kto sa k nemu dostane.

Existuje zámerná výnimka z jednoduchého výkladu socket-peer. Squid 6 a 7 môžu sledovať X-Forwarded-For od výslovne dôveryhodných peerov a použiť výslednú nepriamu adresu klienta pre vybrané funkcie. Príslušné nastavenia rozhodujú, či zdrojová ACL používa túto odvodenú identitu; pri zapnutej funkcii src nie je vždy surový peer.

Preposielanej identite dôverujte len od sprostredkovateľa, ktorý ju správne čistí a dodáva. Ľubovoľný X-Forwarded-For od klienta je tvrdená hodnota, nie overený zdroj. Kde to politika dovoľuje, logujte tak bezprostredného peera, ako aj dôveryhodného pôvodného klienta: prvý určuje, kto sa pripojil k nadradenému, druhý, komu podradené slúžilo.