V modelu application-proxy-gateway popsaném NIST brána přijme spojení na jedné straně, uplatní politiku a pro povolený provoz vytvoří na druhé straně samostatné spojení.
Protože proxy působí jako protokolový koncové zařízení, může validovat syntaxi podporovaných aplikací, omezovat příkazy nebo obsah, autentizovat žadatele, normalizovat provoz a skrývat část interního adresování. Tyto schopnosti závisí na pochopení konkrétního protokolu. Generické přeposílání, nepodporované protokoly nebo šifrovaný obsah, který není zákonně terminován a kontrolován, mohou získat pouze kontroly nižších vrstev.
Klíčové body
Podpora protokolůIdentifikujte, kterým aplikačním protokolům a verzím proxy rozumí, které funkce povoluje a jak je zpracován nepodporovaný nebo aktualizovaný provoz.
Hranice důvěryDefinujte, kde transportní šifrování končí a znovu začíná, jak jsou validovány identity cíle a klienta a jak jsou chráněny klíče, certifikáty, obsah a logy.
ProvozŘiďte politiku, autentizaci, aktualizace, kapacitu, timeouty, chování při chybách, vysokou dostupnost a obcházející cesty; před vynucením otestujte kompatibilitu protokolů a režimy selhání.
Důležité omezeníProxyfikace nezaručuje bezpečný obsah ani správnou autorizaci. Proxy se stává závislostí zabezpečení a dostupnosti a rozdíly v parsování, neznámé protokoly, tunely, přímé cesty k backendu nebo nadměrný generický průchod mohou zamýšlenou kontrolu zneškodnit.