¿Se verifican las direcciones IP del cliente para el control de acceso?

No siempre.

En APIG, el control de acceso se basa en el valor de $remote_addr. $remote_addr indica una dirección IP del cliente y está determinada por el modo de acceso. Si un cliente accede a APIG sin usar ningún proxy, la dirección IP del cliente es remote_addr. Si un cliente accede a APIG usando un proxy, el cliente accede primero al proxy y, a continuación, el proxy reenvía la solicitud a APIG. En este caso, remote_addr es la dirección IP del proxy.