Üst proxy hangi istemci IP'sini görür?
Yukarı akış proxy'sinin gördüğü kaynak adresini izleyin ve iletilen istemci üst verilerini tanımlı bir güven sınırı içinde tutun.
Bir iş istasyonunu izin listesine almak, yeni bir alt akış proxy'sinin onun adına bağlanmasına otomatik olarak izin vermez:
workstation → local proxy → corporate parent → websiteYerel proxy üst proxy'ye yeni bir bağlantı açar. Genellikle üst proxy o proxy'nin giden adresini görür, muhtemelen NAT sonrasında. Özgün iş istasyonunun adresi, tüm isteği başlattığı için tek başına yeni bağlantının kaynağı olmaz.
Üst proxy'nin gerçekten aldığı dolaysız kaynağı belirleyin. Alt akış proxy'sine yalnızca amaçlanan hizmet için yetki verin ve alt akış örneğindeki istemci kısıtlamalarını koruyun. Aksi halde izin verilen aracı, kendisine ulaşabilen herkese erişim sağlayabilir.
Basit socket-peer yorumuna kasıtlı bir istisna vardır. Squid 6 ve 7, açıkça güvenilen eşlerden gelen X-Forwarded-For başlığını izleyebilir ve elde edilen dolaylı istemci adresini seçili işlevler için kullanabilir. İlgili ayarlar, kaynak ACL'nin bu türetilmiş kimliği kullanıp kullanmayacağını belirler; bu özellik açıkken src her zaman ham eş değildir.
İletilen kimliğe yalnızca onu doğru biçimde temizleyip sağlayan bir aracıdan güvenin. İstemcinin kendiliğinden verdiği herhangi bir X-Forwarded-For, iddia edilen bir değerdir, doğrulanmış kaynak değildir. Politika izin veriyorsa hem dolaysız eşi hem de güvenilen özgün istemciyi günlüğe kaydedin: birincisi üst proxy'ye kimin bağlandığını, ikincisi alt akışın kime hizmet ettiğini gösterir.