والد پراکسی کون سا کلائنٹ IP دیکھتا ہے؟

کسی ورک اسٹیشن کو اجازت یافتہ فہرست میں رکھنا لازمی طور پر اس کی جانب سے نئی ڈاؤن اسٹریم پراکسی کو جڑنے کی اجازت نہیں دیتا:

workstation → local proxy → corporate parent → website

مقامی پراکسی والد کے ساتھ نئی کنکشن کھولتی ہے۔ عام طور پر والد اس پراکسی کا بیرونی ایڈریس دیکھتا ہے، ممکنہ طور پر NAT کے بعد۔ اصل ورک اسٹیشن کا ایڈریس محض اس لیے نئی کنکشن کا ماخذ نہیں بن جاتا کہ اس نے پوری درخواست شروع کی تھی۔

والد کو حقیقت میں جو فوری ماخذ ملتا ہے اسے تلاش کریں۔ ڈاؤن اسٹریم پراکسی کو صرف مطلوبہ سروس کے لیے مجاز کریں اور ڈاؤن اسٹریم مثال پر کلائنٹ پابندیاں برقرار رکھیں۔ بصورت دیگر مجاز ثالث ہر اس شخص کو رسائی دے سکتا ہے جو اس تک پہنچ سکتا ہے۔

سادہ socket-peer تشریح سے ایک جان بوجھ کر استثنا ہے۔ Squid 6 اور 7 واضح طور پر قابل اعتماد ساتھیوں سے X-Forwarded-For کی پیروی کر سکتے ہیں اور حاصل شدہ بالواسطہ کلائنٹ ایڈریس منتخب افعال کے لیے استعمال کر سکتے ہیں۔ متعلقہ ترتیبات فیصلہ کرتی ہیں کہ ماخذ ACL وہ اخذ شدہ شناخت استعمال کرتا ہے یا نہیں؛ جب یہ خصوصیت فعال ہو تو src ہمیشہ خام ساتھی نہیں ہوتا۔

فارورڈ شدہ شناخت پر صرف ایسے ثالث سے بھروسا کریں جو اسے درست طریقے سے صاف کر کے فراہم کرتا ہو۔ کلائنٹ کا خود دیا ہوا کوئی بھی X-Forwarded-For دعویٰ شدہ قدر ہے، تصدیق شدہ ماخذ نہیں۔ جہاں پالیسی اجازت دے، فوری ساتھی اور قابل اعتماد اصل کلائنٹ دونوں کو لاگ کریں: پہلا بتاتا ہے کہ کون والد سے جڑا، دوسرا بتاتا ہے کہ ڈاؤن اسٹریم نے کس کی خدمت کی۔