Коју IP адресу клијента види надређени прокси?

Стављање радне станице на листу дозвољених не значи нужно да нови низводни прокси сме да се повеже у њено име:

workstation → local proxy → corporate parent → website

Локални прокси отвара нову везу према надређеном. Обично надређени види одлазну адресу тог проксија, могуће након NAT-а. Адреса изворне радне станице не постаје извор нове везе само зато што је покренула цео захтев.

Пронађите непосредни извор који надређени заиста прима. Одобрите низводном проксију само предвиђену услугу и задржите ограничења клијената на низводној инстанци. Иначе дозвољени посредник може дати приступ свакоме ко може да дође до њега.

Постоји намерни изузетак од једноставног тумачења socket-peer. Squid 6 и 7 могу да прате X-Forwarded-For од изричито поузданих партнера и да користе резултујућу индиректну адресу клијента за одабране функције. Одговарајућа подешавања одлучују да ли изворни ACL користи тај изведени идентитет; src није увек сирови партнер када је ова функција омогућена.

Верујте прослеђеном идентитету само од посредника који га исправно чисти и доставља. Произвољни X-Forwarded-For који достави клијент је тврђена вредност, а не аутентификовани извор. Где политика дозвољава, бележите и непосредног партнера и поузданог оригиналног клијента: први показује ко се повезао на надређени, други коме је низводни служио.