W typowej roli proxy przekazującego (forward proxy) klienci lub ich sieć wybierają proxy, które reprezentuje ich wobec usług docelowych. Proxy może terminować, przekazywać, tunelować, buforować, filtrować lub przekształcać ruch, zależnie od protokołu i konfiguracji.
Organizacje używają proxy przekazujących do zarządzania wychodzącym dostępem webowym, uwierzytelniania użytkowników, ograniczania miejsc docelowych, buforowania treści lub rejestrowania zdarzeń bezpieczeństwa. Dla HTTPS proxy może przekazywać nieprzejrzysty tunel przy użyciu HTTP CONNECT albo — przy osobno zarządzanym zaufaniu — terminować i inspekcjonować TLS. Tryby te mają bardzo różne konsekwencje dla prywatności, zgodności i bezpieczeństwa.
Najważniejsze punkty
Kierowanie ruchemKlienci mogą być konfigurowani jawnie, wykrywać proxy, używać agenta punktu końcowego lub mieć ruch przekierowywany przez sieć. Trasy obejścia i nieobsługiwane protokoły muszą być uwzględnione.
Granice zaufaniaWaliduj nazwy docelowe i certyfikaty, ograniczaj miejsca docelowe i porty przekaźnika, chroń interfejsy administracyjne i nie ufaj przekazywanym nagłówkom tożsamości lub adresów bez zdefiniowanej zaufanej ścieżki.
Prywatność i rekordyLogi proxy i inspekcjonowana treść mogą zawierać poświadczenia, informacje o zdrowiu, wyszukiwania i inne dane osobowe. Ograniczaj zbieranie, dostęp, retencję i transfer geograficzny do udokumentowanego celu.
Istotne ograniczenieProxy nie jest z natury zaporą sieciową, usługą anonimizującą, detektorem złośliwego oprogramowania ani kontrolą szyfrowania. Tunelowanie może ukrywać przed nim treść; inspekcja może osłabiać poufność end-to-end; bezpośrednie ścieżki mogą je omijać. Jego kompromitacja może ujawnić zarówno ruch, jak i przechowywane poświadczenia lub logi.