În modelul de gateway proxy la nivel de aplicație descris de NIST, gateway-ul acceptă o conexiune pe o parte, aplică politica și creează o conexiune separată pe cealaltă parte pentru traficul permis.
Deoarece proxy-ul acționează ca un endpoint de protocol, poate valida sintaxa aplicațiilor suportate, restricționa comenzi sau conținut, autentifica un solicitant, normaliza traficul și ascunde o parte din adresarea internă. Aceste capabilități depind de înțelegerea specifică protocolului. Retransmiterea generică, protocoalele nesuportate sau conținutul criptat care nu este terminat și inspectat în mod legitim pot primi doar controale de nivel inferior.
Puncte esențiale
Suport pentru protocoaleIdentificați ce protocoale și versiuni de aplicații înțelege proxy-ul, ce funcții permite și cum este tratat traficul nesuportat sau actualizat.
Frontieră de încredereDefiniți unde se termină și unde reîncepe criptarea transportului, cum sunt validate identitatea destinației și a clientului și cum sunt protejate cheile, certificatele, conținutul și jurnalele.
OperațiuniGuvernați politica, autentificarea, actualizările, capacitatea, timeout-urile, comportamentul la eroare, disponibilitatea ridicată și căile de ocolire; testați compatibilitatea protocoalelor și modurile de eșec înainte de aplicare.
Limitare importantăProxy-izarea nu garantează conținut sigur sau autorizare corectă. Proxy-ul devine o dependență de securitate și disponibilitate, iar diferențele de parsare, protocoalele necunoscute, tunelurile, căile directe către backend sau trecerea generică excesivă pot anula controlul intenționat.