Forward Proxy срещу Reverse Proxy: Разлика между тях

Краткият отговор

Пренасочващият прокси представлява клиентите, когато те се свързват навън. Обратният прокси представлява сървърите, когато потребителите се свързват навътре. Първият контролира или закрива маршрута на заявителя; вторият защитава, разпределя и ускорява трафика, преди да достигне до приложение.

Относно нашата методология и технически преглед

Сравнихме посоката на трафика, собствеността, видимата идентичност, точката на конфигурация, кеширането, удостоверяването, балансирането на натоварването, режимите на отказ, регистрирането, обработката на TLS и границите на сигурността. Примерите са рамкирани около оторизирани корпоративни мрежи и публични приложения.

Термините описват позиция и отговорност, а не конкретен продукт. Същият софтуер понякога може да работи и в двете роли, но моделите на конфигурация, доверие и заплахи се различават.

Какво е Forward Proxy?

Пренасочващият прокси сървър се намира между един или повече клиенти и външни дестинации. Клиентът е конфигуриран да изпраща заявка до прокси сървъра, който решава дали да я разреши, избира изходящ маршрут и я препраща, използвайки мрежовата идентичност на прокси сървъра.

Организациите използват пренасочващи прокси сървъри за политика за изходен достъп, филтриране на зловреден софтуер, регистриране на достъпа, управление на честотната лента, кеширане и одобрено регионално тестване. Външните сървъри виждат адреса на прокси сървъра, а не директния публичен адрес на клиента, въпреки че „бисквитките“ на браузъра, акаунтите и сигналите от устройството все още могат да идентифицират потребителя.

Ярки данни

В изходната статия Bright Data се споменава като комерсиална опция за forward-proxy. Преди употреба, оценете мрежовото снабдяване, разрешенията за целта, нуждите на сесията и фактурирането.

За критерии на ниво доставчик вижте нашето сравнение на жилищни прокси.

Какво е обратен прокси?

Обратният прокси се намира пред един или повече оригинални сървъри. Клиентите се свързват с крайната точка на публичния прокси, която прекратява или препраща заявката, избира приложение нагоре по веригата и връща отговора, без да разкрива директно оригинала.

Често срещаните задължения включват TLS терминиране, балансиране на натоварването, кеширане, компресия, удостоверяване, прилагане на защитна стена на уеб приложенията, ограничаване на скоростта, нормализиране на заявките и постепенно внедряване. Клиентът обикновено не се нуждае от специални настройки на прокси сървъра, тъй като обратният прокси сървър е част от архитектурата на уебсайта.

Какви са основните разлики между Forward Proxy и Reverse Proxy?

фактор	Пренасочващ прокси	Обратно прокси
Представлява	Клиенти	Сървъри
Посока на движение	Изходящ от управлявана клиентска мрежа	Входящ към приложение
Конфигурирано от	Потребител, администратор на устройство или екип за изход	Оператор на приложение или платформа
Дестинацията вижда	Прокси адрес вместо директен клиентски адрес	Обратен прокси като крайна точка на приложението
Типични контроли	Филтриране на URL адреси, политика за изход, удостоверяване на клиента	TLS, балансиране на натоварването, WAF, кеширане, ограничения на скоростта
Въздействие на неуспеха	Клиентите може да загубят външен достъп	Обществената услуга може да стане недостъпна
Основни логове	Заявки от потребител/устройство към местоназначение	Заявки от клиент към приложение и избор нагоре по веригата

Какви са различните видове Forward Proxies?

Изричен HTTP прокси: Браузърът или приложението е конфигурирано с хост и порт.
SOCKS прокси: Универсален транспортен прокси, който може да пренася повече от уеб трафик, в зависимост от клиента и версията.
Прозрачен прокси сървър: Мрежовата инфраструктура пренасочва трафика без ръчна настройка от страна на клиента; разкриването и обработката на TLS изискват внимание.
Жилищен пълномощник: Изходящите адреси са свързани с потребителски интернет доставчици и трябва да бъдат оценени за законен произход.
Прокси сървър за център за данни: Адресите произхождат от хостинг инфраструктурата и обикновено дават приоритет на скоростта и цената.
Статичен или лепкав прокси сървър: Един изход остава стабилен за една сесия.
Въртящ се прокси: Шлюзът променя изходите по заявка или интервал.

Нашият списък с безплатни прокси сървъри обяснява защо анонимните публични крайни точки са неподходящи за идентификационни данни или чувствителни данни.

Какви са различните видове обратни прокси сървъри?

Обратен прокси сървър на HTTP ниво 7: Маршрути, използващи имена на хостове, пътища, заглавки, бисквитки или правила на приложенията.
Балансьор на натоварването на слой 4: Разпределя TCP или UDP връзки без да разбира пълната HTTP семантика.
API шлюз: Добавя удостоверяване, квоти, трансформация, маршрутизиране и политика, насочена към разработчиците.
Мрежа за доставка на съдържание: Обслужва кеширано съдържание от разпределени периферни местоположения и защитава произхода.
Шлюз на защитната стена на уеб приложението: Проверява заявките на приложенията и блокира дефинирани модели на атака.
Входящ контролер: Насочва външен трафик към контейнерни платформи като Kubernetes.
Шлюз за обслужване на мрежата: Прилага правила за идентичност и трафик между или към услуги.

Какви са предимствата от използването на обратни прокси сървъри?

Защита на произхода: Публичните клиенти се свързват към периферията, а не директно към сървърите на приложения.
Разпределение на натоварването: Проверките за състоянието и маршрутизацията разпределят заявките по всички здрави възходящи потоци.
Управление на TLS: Сертификатите и политиката за криптиране могат да бъдат централизирани.
Изпълнение: Кеширането, компресирането, повторното използване на връзките и доставката на ръба намаляват работата с оригинала.
Политика за сигурност: Ограниченията на скоростта, удостоверяването, размера на заявката и правилата за WAF могат да се прилагат последователно.
Контрол на внедряването: Претегленото маршрутизиране поддържа canary версии, синьо/зелено внедряване и превключване при срив.

Обратният прокси все още е критична зависимост. Използвайте излишни инстанции, тествани проверки за състоянието, защитен достъп за управление и наблюдаеми повреди нагоре по веригата.

Какви са предимствата от използването на Forward Proxies?

Управление на изхода: Администраторите могат да ограничат дестинациите и протоколите от управляваните устройства.
Видимост: Централните регистрационни файлове помагат за разследване на злонамерен софтуер, загуба на данни и нарушения на правилата.
Контрол на адреса: Одобрените работни натоварвания могат да използват известни изходящи адреси за добавяне в списък с разрешени адреси.
Филтриране на съдържание: Организациите могат да блокират злонамерени или неподходящи дестинации.
Кеширане: Многократно повтарящи се публични ресурси могат да се обслужват локално, когато протоколът и политиката го позволяват.
Регионално осигуряване на качеството: Упълномощените екипи могат да възпроизведат поведението на дестинацията, зависещо от местоположението.

Защо трябва да използвам препратен прокси?

Използвайте пренасочващ прокси, когато проблемът започва с контролирани клиенти: изход на служители, трафик от лаборатория, задачи за автоматизация, специфично за приложението маршрутизиране или необходимост от стабилни изходящи адреси в списъка с разрешени адреси. Това е особено полезно, когато няколко клиента трябва да споделят една политика и одитна следа.

Не добавяйте прокси сървър само за да „бъдете анонимни“. Определете точния маршрут, чувствителността на данните, изискванията за идентичност, очакваните дестинации, регистрирането, запазването и поведението при грешки. VPN или защитен уеб шлюз може да са по-подходящи, когато е необходим широк трафик на устройства или интегрирана защита от заплахи.

Защо трябва да използвам обратен прокси?

Използвайте обратен прокси сървър, когато управлявате публична или вътрешна услуга, която се нуждае от една контролирана точка за вход. Това е естествено място за управление на сертификати, картографиране на имена на хостове и пътища, прилагане на ограничения за заявки, разпределяне на натоварването и скриване на променящата се топология на upstream.

Проектирайте го като производствена инфраструктура: внедрете резервиране, автоматизирайте сертификатите, ограничете администраторската равнина, запазете безопасно реалния адрес на клиента, дефинирайте времеви ограничения и наблюдавайте латентността както на прокси, така и на оригинала.

Какви са потенциалните недостатъци или ограничения при използването на Forward Proxy или Reverse Proxy?

Ограничения на Forward Proxy

Централизирано прекъсване може да премахне външен достъп за много клиенти.
TLS проверката въвежда задължения, свързани със сертификати, поверителност, правни и ключови задължения.
Приложенията може да игнорират системните настройки или да използват неподдържани протоколи.
Дневниците могат да се превърнат в чувствителни записи за потребителската активност.
Лошото маршрутизиране или претоварените изходи увеличават латентността и процента на неуспехи.

Ограничения на обратния прокси

Неправилната конфигурация може да разкрие всяко приложение зад периферията.
Неправилните таймаути и буферирането могат да прекъснат качванията, стрийминга или дългите заявки.
Без излишък, обратният прокси се превръща в единична точка на отказ.
Доверяването на фалшиви заглавки на клиентски IP адреси може да повреди лог файловете и решенията, свързани със сигурността.
Кеширането на лични или персонализирани отговори може да доведе до изтичане на данни между потребителите.

Последици за сигурността и стратегии за смекчаване на последиците при директни и обратни прокси сървъри

Риск	Смекчаване
Откраднати прокси идентификационни данни	Използвайте краткотрайни идентификационни данни, ограничения за IP адреси, секретно съхранение, ротация и акаунти за всеки проект.
Злоупотреба с отворен прокси сървър	Изисквайте удостоверяване, ограничавайте дестинациите и изходните мрежи и наблюдавайте аномалии.
Подправяне на заглавки	Премахнете ненадеждните заглавки за пренасочване и добавете канонична стойност на доверения ръб.
Експозиция на TLS ключ	Използвайте управлявано съхранение на ключове, минимални привилегии, автоматично подновяване и одитиран достъп.
Отравяне или изтичане на кеш памет	Дефинирайте внимателно кеш ключовете, избягвайте кеширането на частни отговори и валидирайте заглавките нагоре по веригата.
Отказ на услуга	Приложете ограничения на скоростта, ограничения на връзките, времеви ограничения за достъп до мрежата, автоматично мащабиране и защита от достъп до мрежата.
Прекомерни лог файлове	Минимизирайте полетата, редактирайте тайни данни, контролирайте съхранението и ограничете достъпа до лог файлове.

Могат ли Forward и Reverse Proxy да работят заедно?

Да. Корпоративен клиент може да изпрати изходяща заявка чрез пренасочващ прокси, докато дестинацията я получава чрез обратен прокси или CDN. Всеки посредник обслужва различен собственик и граница на политиката.

Например, браузър на служител се удостоверява пред изходния прокси сървър на компанията. Този прокси сървър се свързва с граничния шлюз на публично приложение. Обратният прокси сървър прекратява TLS, прилага WAF правило и насочва заявката към изправна точка за произход. Отстраняването на неизправности изисква идентификатори на корелация, синхронизирани часовници и регистрационни файлове от двете страни, без да се разкриват тайни.

Въпроси и Отговори

Може ли един и същ софтуер да действа едновременно като директен и обратен прокси?

Да. Някои платформи поддържат и двете роли, но те трябва да използват отделни слушатели, политики, идентификационни данни, регистрационни файлове и граници на доверие. Конфигурация, предназначена за едната роля, не трябва да се разкрива като друга.

Прави ли потребителя анонимен преходният прокси сървър?

Той скрива директния IP адрес на клиента от дестинации, до които се стига чрез него, но акаунти, бисквитки, пръстови отпечатъци на браузъра, лог файлове и сигнали от устройството все още могат да идентифицират потребителя.

CDN обратен прокси ли е?

CDN обикновено работи като разпределен обратен прокси, който обслужва кеширано съдържание, прекратява връзките, прилага политика за периферни връзки и препраща пропуски в кеша към източник.

Къде трябва да се прекрати TLS на обратен прокси?

Много внедрявания прекратяват TLS на прокси сървъра и установяват отделна криптирана връзка към източника. Правилният дизайн зависи от съответствието, границите на доверие, управлението на сертификатите и производителността.

Може ли обратният прокси сървър да замени защитната стена?

Не. Може да наложи политика на приложно ниво, но мрежовите защитни стени, контролът на хоста, идентичността, корекцията, сегментацията и защитеният код на приложението остават необходими.

Как да избера между директен прокси и обратен прокси?

Изберете въз основа на това кого представлява проксито. Използвайте директен прокси, за да управлявате изхода на клиента, и обратен прокси, за да управлявате достъпа до сървъри и приложения.

Заключение: Обратен прокси срещу директен прокси

Пренасочващият прокси е контролна точка от страна на клиента за изходящ трафик. Обратният прокси е контролна точка от страна на сървъра за входящ трафик. Те могат да използват подобен софтуер и HTTP механизми, но техните собственици, граници на доверие, регистрационни файлове, въздействие при неуспех и политики за сигурност са различни.

Изберете ролята, като идентифицирате защитената страна и посоката на трафика. След това проектирайте удостоверяване, TLS, наблюдаемост, излишък и запазване на данни около тази граница.