Proxy cha nhìn thấy IP khách hàng nào?

Đưa một máy trạm vào danh sách cho phép không nhất thiết cho phép một proxy hạ nguồn mới kết nối thay mặt nó:

workstation → local proxy → corporate parent → website

Proxy cục bộ mở một kết nối mới tới proxy cha. Thông thường proxy cha nhìn thấy địa chỉ đi ra của proxy đó, có thể sau NAT. Địa chỉ của máy trạm gốc không trở thành nguồn của kết nối mới chỉ vì nó đã khởi tạo toàn bộ yêu cầu.

Xác định nguồn trực tiếp mà proxy cha thực sự nhận được. Chỉ cấp quyền cho proxy hạ nguồn đối với dịch vụ dự kiến, và giữ các hạn chế khách hàng trên phiên bản hạ nguồn. Nếu không, trung gian được cấp quyền có thể cấp quyền truy cập cho bất kỳ ai chạm tới được nó.

Có một ngoại lệ có chủ đích đối với cách hiểu socket-peer đơn giản. Squid 6 và 7 có thể theo dõi X-Forwarded-For từ các peer được tin cậy rõ ràng và dùng địa chỉ khách hàng gián tiếp thu được cho các chức năng được chọn. Các thiết lập liên quan quyết định liệu ACL nguồn có dùng danh tính dẫn xuất đó hay không; khi tính năng này bật, src không phải lúc nào cũng là peer thô.

Chỉ tin danh tính được chuyển tiếp từ một trung gian làm sạch và cung cấp nó đúng cách. Mọi X-Forwarded-For do khách hàng tự cung cấp là giá trị được khai báo, không phải nguồn đã xác thực. Nơi chính sách cho phép, hãy ghi log cả peer trực tiếp và khách hàng gốc đáng tin: cái đầu cho biết ai đã kết nối tới proxy cha, cái sau cho biết hạ nguồn đã phục vụ ai.