W modelu bramy proxy aplikacyjnej opisanym przez NIST brama przyjmuje połączenie po jednej stronie, stosuje politykę i tworzy osobne połączenie po drugiej stronie dla dozwolonego ruchu.
Ponieważ proxy działa jako punkt końcowy protokołu, może walidować obsługiwaną składnię aplikacji, ograniczać polecenia lub treści, uwierzytelniać żądającego, normalizować ruch i ukrywać część adresowania wewnętrznego. Możliwości te zależą od zrozumienia konkretnego protokołu. Ogólne przekazywanie, nieobsługiwane protokoły lub zaszyfrowane treści, które nie są legalnie terminowane i inspekcjonowane, mogą otrzymać jedynie kontrole niższych warstw.
Najważniejsze punkty
Obsługa protokołówUstalaj, które protokoły aplikacyjne i wersje proxy rozumie, które funkcje zezwala i jak traktowany jest ruch nieobsługiwany lub zaktualizowany.
Granica zaufaniaDefiniuj, gdzie szyfrowanie transportowe się kończy i wznawia, jak walidowana jest tożsamość miejsca docelowego i klienta oraz jak chronione są klucze, certyfikaty, treści i logi.
OperacjeZarządzaj polityką, uwierzytelnianiem, aktualizacjami, pojemnością, limitami czasu, zachowaniem błędów, wysoką dostępnością i ścieżkami obejścia; testuj zgodność protokołów i tryby awarii przed egzekwowaniem.
Istotne ograniczeniePośredniczenie nie gwarantuje bezpiecznej treści ani poprawnej autoryzacji. Proxy staje się zależnością bezpieczeństwa i dostępności, a różnice w parsowaniu, nieznane protokoły, tunele, bezpośrednie ścieżki backendu lub nadmierne ogólne przepuszczanie mogą obniżyć zamierzoną kontrolę.