иногда корпоративные прокси настолько любезны, что передают заголовок HTTP_X_FORWARDED_FOR (для кого они делают запрос). Но надо помнить про 2 факта:
1) многие прокси его не передают вообще.
2) любая машина может его подделать, сказав "да я не для себя, я для друга".
Так что доверия таким заголовкам (как, собственно, и всем остальным) - ровно ноль. И годятся они разве что для сбора статистики.