Похоже, что существует прокси между пользователями и сервером на сайте клиента (его не нужно настраивать в браузере). Это может быть внутренний или внешний прокси в зависимости от конфигурации вашей сети.
Я бы не использовал UserHostName для аутентификации, так как она предоставляется браузером при запросе и может быть легко подделана. IP-адрес был бы намного более эффективным, поскольку трудно подделать IP-адрес в соединении TCP / IP (и поддерживать соединение). Это все еще слабая аутентификация, но может быть достаточной в этом сценарии.
Даже если вы используете IP-адрес, если между клиентом и сервером есть прокси-сервер NAT, вам, возможно, придется признать, что все, что проходит через этот прокси, является доверенным (я предполагаю, что внешние / ненадежные клиенты не проходят через это прокси).
Если это не приемлемо, вы возвращаетесь к другим методам аутентификации. Вместо того, чтобы требовать входа в систему или VPN-подключения, вы можете использовать постоянные cookie-файлы или клиентские сертификаты и передавать их только внутренним клиентам, но вам потребуется какой-то способ их доставки клиенту. Вы, конечно, могли бы доставить постоянный куки-файл, основанный на одноразовом входе в систему. Файлы cookie могут быть подделаны таким же образом, что и имя UserHostName, однако у вас есть лучшая возможность создать значение файла cookie, которое менее вероятно, чем доменное имя.