Vilken klient-IP ser en överordnad proxy?

Att sätta en arbetsstation på en tillåtelselista ger inte nödvändigtvis en ny nedströmsproxy rätt att ansluta i dess ställe:

workstation → local proxy → corporate parent → website

Den lokala proxyn öppnar en ny anslutning till den överordnade. Vanligtvis ser den överordnade den proxyns utgående adress, möjligen efter NAT. Den ursprungliga arbetsstationens adress blir inte källan till den nya anslutningen bara för att den startade den samlade begäran.

Hitta den omedelbara källa som den överordnade faktiskt tar emot. Auktorisera nedströmsproxyn endast för den avsedda tjänsten och behåll klientbegränsningar på nedströmsinstansen. Annars kan den tillåtna mellanhanden ge åtkomst till alla som kan nå den.

Det finns ett avsiktligt undantag från den enkla socket-peer-tolkningen. Squid 6 och 7 kan följa X-Forwarded-For från uttryckligen betrodda peers och använda den resulterande indirekta klientadressen för utvalda funktioner. De relevanta inställningarna avgör om en käll-ACL använder den härledda identiteten; src är inte alltid den råa peeren när funktionen är aktiverad.

Lita på vidarebefordrad identitet endast från en mellanhand som rensar och levererar den korrekt. En godtycklig X-Forwarded-For från klienten är ett påstått värde, inte en autentiserad källa. Där policyn tillåter det, logga både den omedelbara peeren och den betrodda ursprungliga klienten: den första anger vem som anslöt till den överordnade, den andra vem nedströmsen betjänade.