În rolul obișnuit de proxy direct (forward proxy), clienții sau rețeaua lor selectează proxy-ul, care îi reprezintă în fața serviciilor de destinație. Un proxy poate termina, retransmite, tunela, pune în cache, filtra sau transforma trafic, în funcție de protocol și configurație.
Organizațiile folosesc proxy-uri directe pentru a guverna accesul web de ieșire, autentifica utilizatori, restricționa destinații, pune în cache conținut sau înregistra evenimente de securitate. Pentru HTTPS, un proxy poate retransmite un tunel opac folosind HTTP CONNECT sau, cu încredere gestionată separat, poate termina și inspecta TLS. Aceste moduri au consecințe foarte diferite asupra confidențialității, compatibilității și securității.
Puncte esențiale
Dirijarea traficuluiClienții pot fi configurați explicit, pot descoperi un proxy, pot folosi un agent de endpoint sau le pot fi redirecționat traficul de rețea. Rutele de ocolire și protocoalele nesuportate trebuie luate în calcul.
Frontiere de încredereValidați numele și certificatele de destinație, restricționați destinațiile și porturile de retransmitere, protejați interfețele administrative și nu aveți încredere în anteturile de identitate sau adresă transmise fără o cale de încredere definită.
Confidențialitate și înregistrăriJurnalele proxy și conținutul inspectat pot conține credențiale, informații medicale, căutări și alte date personale. Limitați colectarea, accesul, retenția și transferul geografic la un scop documentat.
Limitare importantăUn proxy nu este în mod inerent un firewall, serviciu de anonimitate, detector de malware sau control de criptare. Tunelarea poate ascunde conținutul de acesta; inspecția poate slăbi confidențialitatea capăt-la-capăt; căile directe îl pot ocoli. Compromiterea sa poate expune atât trafic, cât și credențiale sau jurnale stocate.