Cilën IP të klientit sheh një proxy prind?

Vendosja e një stacioni pune në një listë të lejuar nuk lejon domosdoshmërisht një proxy të ri të poshtëm të lidhet në emër të tij:

workstation → local proxy → corporate parent → website

Proxy lokale hap një lidhje të re drejt prindit. Zakonisht prindi sheh adresën dalëse të atij proxy, ndoshta pas NAT. Adresa e stacionit origjinal të punës nuk bëhet burimi i lidhjes së re vetëm sepse ai nisi kërkesën e përgjithshme.

Gjeni burimin e menjëhershëm që prindi merr në të vërtetë. Autorizoni proxyn e poshtëm vetëm për shërbimin e synuar dhe mbani kufizimet e klientit në instancën e poshtme. Përndryshe ndërmjetësi i lejuar mund t'u japë qasje kujtdo që mund ta arrijë.

Ekziston një përjashtim i qëllimshëm nga interpretimi i thjeshtë socket-peer. Squid 6 dhe 7 mund të ndjekin X-Forwarded-For nga partnerë të besuar në mënyrë të qartë dhe të përdorin adresën indirekte të klientit që rezulton për funksione të zgjedhura. Cilësimet përkatëse vendosin nëse një ACL burimi përdor atë identitet të prejardhur; src nuk është gjithmonë partneri i papërpunuar kur ky funksion është i aktivizuar.

Besoni identitetin e përcjellë vetëm nga një ndërmjetës që e pastron dhe e ofron saktë. Një X-Forwarded-For arbitrar i dhënë nga klienti është vlerë e pretenduar, jo burim i vërtetuar. Aty ku politika e lejon, regjistroni si partnerin e menjëhershëm ashtu edhe klientin origjinal të besuar: i pari identifikon kush u lidh me prindin, i dyti kë shërbeu ai i poshtmi.