Kateri IP naslov odjemalca vidi nadrejeni posrednik?

Uvrstitev delovne postaje na seznam dovoljenih ne pomeni nujno, da se novo podrejeno posredniško vozlišče sme povezati v njenem imenu:

workstation → local proxy → corporate parent → website

Lokalni posrednik odpre novo povezavo do nadrejenega. Običajno nadrejeni vidi odhodni naslov tega posrednika, morda po NAT. Naslov prvotne delovne postaje ne postane vir nove povezave le zato, ker je začela celotno zahtevo.

Poiščite neposredni vir, ki ga nadrejeni dejansko prejme. Podrejenemu posredniku dovolite le predvideno storitev in ohranite omejitve odjemalcev na podrejenem primerku. V nasprotnem primeru lahko dovoljeni posrednik omogoči dostop vsakomur, ki ga lahko doseže.

Obstaja namerna izjema pri preprosti razlagi socket-peer. Squid 6 in 7 lahko sledita X-Forwarded-For od izrecno zaupanja vrednih partnerjev in uporabita nastali posredni naslov odjemalca za izbrane funkcije. Ustrezne nastavitve odločajo, ali izvorni ACL uporablja to izpeljano identiteto; ko je ta funkcija omogočena, src ni vedno surov partner.

Posredovani identiteti zaupajte le pri posredniku, ki jo pravilno očisti in zagotovi. Poljuben X-Forwarded-For, ki ga navede odjemalec, je zatrjevana vrednost, ne preverjen vir. Kjer politika dovoljuje, beležite tako neposrednega partnerja kot zaupanja vrednega izvirnega odjemalca: prvi pove, kdo se je povezal z nadrejenim, drugi, komu je podrejeni služil.