Яку IP-адресу клієнта бачить батьківський проксі?

Додавання робочої станції до списку дозволених не обов'язково дозволяє новому нижчому проксі підключатися від її імені:

workstation → local proxy → corporate parent → website

Локальний проксі відкриває нове з'єднання з батьківським. Зазвичай батьківський бачить вихідну адресу цього проксі, можливо, після NAT. Адреса початкової робочої станції не стає джерелом нового з'єднання лише тому, що вона ініціювала весь запит.

Знайдіть безпосереднє джерело, яке батьківський проксі справді отримує. Дозволяйте нижчому проксі лише потрібну службу та зберігайте обмеження клієнтів на нижчому примірнику. Інакше дозволений посередник може надати доступ кожному, хто до нього дістанеться.

Є навмисний виняток із простого тлумачення socket-peer. Squid 6 і 7 можуть дотримуватися X-Forwarded-For від явно довірених вузлів і використовувати отриману непряму адресу клієнта для вибраних функцій. Відповідні налаштування вирішують, чи застосовує ACL джерела цю похідну ідентичність; коли цю функцію ввімкнено, src не завжди є необробленим вузлом.

Довіряйте переданій ідентичності лише від посередника, який коректно її очищує та надає. Довільний X-Forwarded-For, наданий клієнтом, є заявленим значенням, а не автентифікованим джерелом. Там, де політика це дозволяє, журналюйте і безпосередній вузол, і довіреного початкового клієнта: перший показує, хто підключився до батьківського, другий — кому служив нижчий.