Aling client IP ang nakikita ng isang parent proxy?

Ang paglalagay ng workstation sa isang allowlist ay hindi awtomatikong nagpapahintulot sa isang bagong downstream proxy na kumonekta sa ngalan nito:

workstation → local proxy → corporate parent → website

Binubuksan ng lokal na proxy ang isang bagong koneksyon sa parent. Karaniwang nakikita ng parent ang outbound address ng proxy na iyon, posibleng pagkatapos ng NAT. Hindi nagiging source ng bagong koneksyon ang address ng orihinal na workstation dahil lang sa sinimulan nito ang buong kahilingan.

Hanapin ang agarang source na aktuwal na natatanggap ng parent. Pahintulutan ang downstream proxy para lamang sa inilaan na serbisyo, at panatilihin ang mga paghihigpit sa client sa downstream instance. Kung hindi, maaaring magbigay ng access ang pinahintulutang tagapamagitan sa sinumang makakaabot dito.

May sadyang pagbubukod sa simpleng pagpapakahulugan ng socket-peer. Maaaring sundan ng Squid 6 at 7 ang X-Forwarded-For mula sa malinaw na pinagkakatiwalaang mga peer at gamitin ang nagresultang di-tuwirang address ng client para sa mga piling function. Ang mga kaugnay na setting ang nagtatakda kung ginagamit ng source ACL ang hinangong pagkakakilanlan; hindi laging ang hilaw na peer ang src kapag naka-enable ang feature na ito.

Magtiwala sa ipinasang pagkakakilanlan lamang mula sa tagapamagitang naglilinis at naghahatid nito nang tama. Ang anumang X-Forwarded-For na ibinibigay mismo ng client ay isang inaangking halaga, hindi isang napatunayang source. Kung pinapayagan ng patakaran, i-log ang agarang peer at ang pinagkakatiwalaang orihinal na client: ipinapakita ng una kung sino ang kumonekta sa parent, ng pangalawa kung sino ang pinagsilbihan ng downstream.