V obvyklé roli forward proxy klienti nebo jejich síť proxy vybírají a ona je reprezentuje vůči cílovým službám. Proxy může provoz terminovat, přeposílat, tunelovat, cachovat, filtrovat nebo transformovat — podle protokolu a konfigurace.
Organizace používají forward proxy k řízení odchozího webového přístupu, autentizaci uživatelů, omezení cílů, cachování obsahu či zaznamenávání bezpečnostních událostí. Pro HTTPS může proxy přeposílat neprůhledný tunel pomocí HTTP CONNECT, nebo — se samostatně spravovanou důvěrou — terminovat a kontrolovat TLS. Tyto režimy mají velmi odlišné důsledky pro soukromí, kompatibilitu a bezpečnost.
Klíčové body
Nasměrování provozuKlienti mohou být nakonfigurováni explicitně, proxy objevit, použít agenta koncového zařízení nebo mít provoz sítí přesměrovaný. Obcházející trasy a nepodporované protokoly je třeba zvážit.
Hranice důvěryValidujte cílová jména a certifikáty, omezte cíle a porty přeposílání, chraňte administrativní rozhraní a nedůvěřujte přeposílaným hlavičkám identity či adresy bez definované důvěryhodné cesty.
Soukromí a záznamyLogy proxy a kontrolovaný obsah mohou obsahovat přihlašovací údaje, zdravotní informace, vyhledávání a další osobní data. Sběr, přístup, uchovávání a geografický přenos omezte na zdokumentovaný účel.
Důležité omezeníProxy není ze své podstaty firewall, služba anonymity, detektor malwaru ani šifrovací kontrola. Tunneling může obsah před ní skrýt; inspekce může oslabit end-to-end důvěrnost; přímé cesty ji mohou obejít. Její kompromitace může vystavit provoz i uložené přihlašovací údaje či logy.