וועלכע קליענט IP זעט אַ פּאַראַנט פּראָקסי?

אַרײַנשטעלן אַ אַרבעטססטאַנציע אין דער דערלויבטער ליסטע מיינט נישט אַז אַ נײַער נידעריקער פּראָקסי מעג זיך פֿאַרבינדן אין איר נאָמען:

workstation → local proxy → corporate parent → website

דער לאָקאַלער פּראָקסי עפֿנט אַ נײַע פֿאַרבינדונג צום פּאַראַנט. געוויינטלעך זעט דער פּאַראַנט דעם אַרויסגייענדיקן אַדרעס פֿון יענעם פּראָקסי, מעגלעך נאָך NAT. דער אַדרעס פֿון דער אָריגינעלער אַרבעטססטאַנציע ווערט נישט דער מקור פֿון דער נײַער פֿאַרבינדונג בלויז ווײַל זי האָט אָנגעהויבן די גאַנצע בקשה.

געפֿינט דעם דירעקטן מקור וואָס דער פּאַראַנט באַקומט טאַקע. דערלויבט דעם נידעריקן פּראָקסי נאָר פֿאַר דער געמיינטער דינסט, און האַלט די קליענט־באַגרענעצונגען אויפֿן נידעריקן עקזעמפּלאַר. אַנדערש קען דער דערלויבטער מיטלער געבן צוטריט צו יעדער וואָס קען אים דערגרייכן.

עס עקזיסטירט אַ באַוווּסטע אויסנאַם צו דער פּשוטער socket-peer דײַטשונג. Squid 6 און 7 קענען נאָכפֿאָלגן X-Forwarded-For פֿון בפֿירושע באַטראַוטע פּירן און ניצן דעם אָפּגעשטאַמטן אומדירעקטן קליענט־אַדרעס פֿאַר אויסגעקליבענע פֿונקציעס. די פֿאַרמאָגן איינשטעלונגען באַשטימען צי אַ מקור־ACL ניצט די אָפּגעשטאַמטע אידענטיטעט; ווען די פֿעיִקייט איז אַקטיוו איז src נישט שטענדיק דער רויער פּיר.

פֿאַרטרויט זיך אויף אַ ווײַטערגעגעבענער אידענטיטעט נאָר פֿון אַ מיטלער וואָס רייניקט און ליפֿערט זי ריכטיק. אַ באַליבטער X-Forwarded-For וואָס דער קליענט שטעלט צו איז אַ באַהאַוונטער ווערט, נישט קיין באַשטעטיקטער מקור. וווּ די פּאָליטיק דערלויבט, פֿאַרשרייבט סיי דעם דירעקטן פּיר און סיי דעם באַטראַוטן אָריגינעלן קליענט: דער ערשטער באַשטימט ווער עס האָט זיך פֿאַרבונדן צום פּאַראַנט, דער צווייטער וועמען דער נידעריקער האָט געדינט.