Husain Parvez
Lyhyt vastaus
Eteenpäin suuntautuva välityspalvelin edustaa asiakkaita, kun ne muodostavat yhteyden ulospäin. Käänteinen välityspalvelin edustaa palvelimia, kun käyttäjät muodostavat yhteyden sisäänpäin. Ensimmäinen hallitsee tai peittää pyytäjän reitin; toinen suojaa, jakaa ja kiihdyttää liikennettä ennen kuin se saavuttaa sovelluksen.
Tietoja menetelmästämme ja teknisestä tarkastelustamme
Vertailimme liikenteen suuntaa, omistajuutta, näkyvää identiteettiä, konfigurointipistettä, välimuistia, todennusta, kuormituksen tasapainotusta, vikatiloja, lokinnusta, TLS-käsittelyä ja tietoturvarajoja. Esimerkkejä on rajattu valtuutettuihin yritysverkkoihin ja julkisiin sovelluksiin.
Termit kuvaavat asemaa ja vastuuta, eivät tiettyä tuotetta. Sama ohjelmisto voi joskus toimia kummassakin roolissa, mutta kokoonpano-, luottamus- ja uhkamallit eroavat toisistaan.
Mikä on välityspalvelin?
Välityspalvelin sijaitsee yhden tai useamman asiakkaan ja ulkoisten kohteiden välissä. Asiakas on määritetty lähettämään pyyntö välityspalvelimelle, joka päättää, sallitaanko se, valitsee lähtevän reitin ja välittää sen välityspalvelimen verkkoidentiteettiä käyttäen.
Organisaatiot käyttävät eteenpäin suuntautuvia välityspalvelimia lähtevän liikenteen käytäntöihin, haittaohjelmien suodatukseen, käyttöoikeuksien lokiin kirjaamiseen, kaistanleveyden hallintaan, välimuistiin tallentamiseen ja hyväksyttyyn alueelliseen testaukseen. Ulkoiset palvelimet näkevät välityspalvelijan osoitteen asiakkaan suoran julkisen osoitteen sijaan, vaikka selain-evästeet, tilit ja laitesignaalit voivat silti tunnistaa käyttäjän.
Lähdeartikkelissa Bright Data mainitaan kaupallisena välityspalvelinvaihtoehtona. Arvioi verkon hankinta, kohteen käyttöoikeudet, istunnon tarpeet ja laskutus ennen käyttöä.
Palveluntarjoajatason kriteerit löytyvät asuinkiinteistöjen välityspalvelinvertailustamme.
Mikä on käänteinen välityspalvelin?
Käänteinen välityspalvelin sijaitsee yhden tai useamman lähtöpalvelimen edessä. Asiakkaat muodostavat yhteyden julkiseen välityspalvelimeen, joka lopettaa tai välittää pyynnön, valitsee ylävirran sovelluksen ja palauttaa vastauksen paljastamatta lähtöpalvelinta suoraan.
Yleisiä tehtäviä ovat TLS-suojauksen päättäminen, kuormituksen tasapainottaminen, välimuistin käyttö, pakkaus, todennus, verkkosovellusten palomuurin valvonta, nopeuden rajoittaminen, pyyntöjen normalisointi ja asteittainen käyttöönotto. Asiakas ei yleensä tarvitse erityisiä välityspalvelinasetuksia, koska käänteinen välityspalvelin on osa verkkosivuston arkkitehtuuria.
Mitkä ovat tärkeimmät erot eteenpäin suuntautuvan ja käänteisen välityspalvelimen välillä?
| Tekijä | Välityspalvelin | Käänteinen välityspalvelin |
|---|---|---|
| edustaa | Asiakkaat | servers |
| Liikenteen suunta | Lähtevä kommunikaatio hallitusta asiakasverkosta | Saapuva hakemus |
| Konfiguroinut | Käyttäjä, laitteen ylläpitäjä tai ulosmenotiimi | Sovelluksen tai alustan ylläpitäjä |
| Kohde näkee | Välityspalvelimen osoite suoran asiakasosoitteen sijaan | Käänteinen välityspalvelin sovelluksen päätepisteenä |
| Tyypilliset ohjausobjektit | URL-suodatus, ulosmenopolitiikka, asiakkaan todennus | TLS, kuormituksen tasaus, WAF, välimuisti, nopeusrajoitukset |
| Epäonnistumisen vaikutus | Asiakkaat voivat menettää ulkoisen pääsyn | Julkinen palvelu voi olla käyttökelvoton |
| Ensisijaiset lokit | Käyttäjä-/laite-kohteeseen -pyynnöt | Asiakas-sovellus -pyynnöt ja ylävirran valinta |
Mitä erilaisia välityspalvelintyyppejä on olemassa?
- Eksplisiittinen HTTP-välityspalvelin: Selain tai sovellus on määritetty isännän ja portin avulla.
- SOCKS-välityspalvelin: Yleiskäyttöinen siirtovälityspalvelin, joka voi kuljettaa muutakin kuin verkkoliikennettä asiakasohjelmasta ja versiosta riippuen.
- Läpinäkyvä välityspalvelin: Verkkoinfrastruktuuri ohjaa liikennettä uudelleen ilman manuaalisia asiakasasetuksia; paljastuminen ja TLS-käsittely vaativat huolellisuutta.
- Asuinkiinteistön välityspalvelin: Lähtevät osoitteet liittyvät kuluttaja-internetpalveluntarjoajiin, ja niiden laillinen hankinta tulisi arvioida.
- Tietokeskuksen välityspalvelin: Osoitteet ovat peräisin hosting-infrastruktuurista ja yleensä priorisoivat nopeutta ja kustannuksia.
- Staattinen tai tarttuva välityspalvelin: Yksi poistumistila pysyy vakaana istunnon ajan.
- Kiertävä välityspalvelin: Yhdyskäytävä vaihtaa uloskäyntejä pyynnöstä tai välein.
Ilmainen välityspalvelinluettelomme selittää, miksi anonyymit julkiset päätepisteet eivät sovellu tunnistetiedoille tai arkaluontoisille tiedoille.
Mitä erityyppisiä käänteisiä välityspalvelimia on olemassa?
- Kerros 7 HTTP-käänteinen välityspalvelin: Reitit käyttävät isäntänimiä, polkuja, otsikoita, evästeitä tai sovellussääntöjä.
- Kerroksen 4 kuormituksen tasaaja: Jakaa TCP- tai UDP-yhteyksiä ymmärtämättä koko HTTP-semantiikkaa.
- API-yhdyskäytävä: Lisää todennuksen, kiintiöt, muunnoksen, reitityksen ja kehittäjille suunnatun käytännön.
- Sisällönjakeluverkosto: Tarjoaa välimuistissa olevaa sisältöä hajautetuista reunasijainneista ja suojaa alkuperää.
- Verkkosovelluksen palomuuriyhdyskäytävä: Tarkastaa sovelluspyynnöt ja estää määritetyt hyökkäyskuviot.
- Sisäänpääsyn ohjain: Reitittää ulkoisen liikenteen konttialustoille, kuten Kubernetesiin.
- Palveluverkkoyhdyskäytävä: Soveltaa identiteetti- ja liikennekäytäntöjä palveluiden välillä tai niihin.
Mitä etuja käänteisten välityspalvelimien käyttämisestä on?
- Alkuperän suojaus: Julkiset asiakkaat muodostavat yhteyden reunalle suoraan sovelluspalvelimien sijaan.
- Kuorman jakautuminen: Kuntotarkistukset ja reititys hajautuspyynnöille terveiden ylävirtojen välillä.
- TLS-hallinta: Varmenteet ja salauskäytäntö voidaan keskittää.
- Suorituskyky: Välimuisti, pakkaus, yhteyksien uudelleenkäyttö ja reunatoimitus vähentävät alkuperäiseen palvelimeen tehtävää työtä.
- Turvallisuuspolitiikka: Nopeusrajoituksia, todennusta, pyynnön kokoa ja WAF-sääntöjä voidaan soveltaa johdonmukaisesti.
- Käyttöönoton hallinta: Painotettu reititys tukee Canary-julkaisuja, sinistä/vihreää käyttöönottoa ja vikasietoisuutta.
Käänteinen välityspalvelin on edelleen kriittinen riippuvuus. Käytä redundantteja instansseja, testattuja kuntotarkistuksia, suojattua hallintakäyttöä ja havaittavia ylävirran vikoja.
Mitä etuja on välityspalvelinten käytöstä?
- Lähtöliikenteen hallinta: Järjestelmänvalvojat voivat rajoittaa hallittujen laitteiden kohteita ja protokollia.
- Näkyvyys: Keskitetyt lokit auttavat tutkimaan haittaohjelmia, tietojen menetystä ja käytäntörikkomuksia.
- Osoitteiden hallinta: Hyväksytyt työkuormat voivat käyttää tunnettuja lähtevän liikenteen osoitteita sallittujen listalle lisäämiseen.
- Sisällön suodatus: Organisaatiot voivat estää haitalliset tai sopimattomat kohteet.
- Caching: Toistuvia julkisia resursseja voidaan tarjota paikallisesti, jos protokolla ja käytäntö sen sallivat.
- Alueellinen laadunvarmistus: Valtuutetut tiimit voivat jäljitellä kohteen sijainnista riippuvaa käyttäytymistä.
Miksi minun pitäisi käyttää välityspalvelinta?
Käytä eteenpäin suuntautuvaa välityspalvelinta, kun ongelma alkaa hallituista asiakkaista: työntekijöiden lähtevästä liikenteestä, laboratorioliikenteestä, automaatiotöistä, sovelluskohtaisesta reitityksestä tai vakaiden sallittujen lähtevien osoitteiden tarpeesta. Se on erityisen hyödyllinen silloin, kun useiden asiakkaiden on jaettava yksi käytäntö ja tarkastusloki.
Älä lisää välityspalvelinta vain "anonyyminä pysyäksesi". Määritä tarkka reitti, tietojen arkaluontoisuus, identiteettivaatimukset, odotetut kohteet, lokinnoitus, säilytys ja vikakäyttäytyminen. VPN tai suojattu verkkoyhdyskäytävä voi olla parempi ratkaisu, kun tarvitaan laajaa laiteliikennettä tai integroitua uhkien torjuntaa.
Miksi minun pitäisi käyttää käänteistä välityspalvelinta?
Käytä käänteistä välityspalvelinta, kun käytät julkista tai sisäistä palvelua, joka tarvitsee yhden hallitun sisäänpääsypisteen. Se on luonnollinen paikka hallita varmenteita, yhdistää isäntänimiä ja polkuja, valvoa pyyntörajoituksia, jakaa kuormitusta ja piilottaa muuttuva ylävirran topologia.
Suunnittele se tuotantoinfrastruktuuriksi: ota käyttöön redundanssi, automatisoi sertifikaatit, rajoita hallintatasoa, säilytä todellinen asiakasosoite turvallisesti, määritä aikakatkaisut ja valvo sekä välityspalvelimen että alkuperän viivettä.
Mitä mahdollisia haittoja tai rajoituksia on käytettävissä välityspalvelimen tai käänteisen välityspalvelimen käytössä?
Välityspalvelimen rajoitukset
- Keskitetty käyttökatkos voi poistaa monilta asiakkailta ulkoisen pääsyn.
- TLS-tarkastus esittelee varmenteisiin, yksityisyyteen, lakiin ja avaintenhallintaan liittyviä velvoitteita.
- Sovellukset saattavat jättää järjestelmäasetukset huomiotta tai käyttää tukemattomia protokollia.
- Lokitiedostoista voi tulla arkaluonteisia tietoja käyttäjän toiminnasta.
- Huono reititys tai ylikuormitetut uloskäynnit lisäävät viivettä ja vikaantumisastetta.
Käänteisen välityspalvelimen rajoitukset
- Väärä määritys voi paljastaa kaikki reunan takana olevat sovellukset.
- Virheelliset aikakatkaisut ja puskurointi voivat katkaista lataukset, suoratoiston tai pitkät pyynnöt.
- Ilman redundanssia käänteisestä välityspalvelimesta tulee yksittäinen vikaantumispiste.
- Väärennettyihin asiakas-IP-otsikoihin luottaminen voi vioittaa lokeja ja turvallisuuspäätöksiä.
- Yksityisten tai personoitujen vastausten välimuistiin tallentaminen voi vuotaa tietoja käyttäjien välillä.
Turvallisuusvaikutukset ja lieventämisstrategiat eteenpäin ja taaksepäin suuntautuvissa välityspalvelimissa
| Riski | lieventäminen |
|---|---|
| Varastetut välityspalvelimen tunnistetiedot | Käytä lyhytaikaisia tunnistetietoja, IP-rajoituksia, salaista tallennustilaa, rotaatiota ja projektikohtaisia tilejä. |
| Avoimen välityspalvelimen väärinkäyttö | Vaadi todennusta, rajoita kohteita ja lähdeverkkoja ja valvo poikkeavuuksia. |
| Otsikkohuijaus | Poista epäluotettavat edelleenlähetysotsikot ja lisää kanoninen arvo luotettavalle reunalle. |
| TLS-avaimen paljastuminen | Käytä hallittua avainsäilytystä, vähiten sallittuja oikeuksia, automaattista uusimista ja auditoitua käyttöoikeutta. |
| Välimuistin myrkytys tai vuoto | Määrittele välimuistiavaimet huolellisesti, vältä yksityisten vastausten välimuistiin tallentamista ja validoi upstream-otsikot. |
| Palvelun hylkääminen | Käytä nopeusrajoituksia, yhteyskattoja, ylävirran aikakatkaisuja, automaattista skaalausta ja ylävirran suojausta. |
| Liialliset lokit | Minimoi kentät, poista salaisuudet, hallitse säilytystä ja rajoita lokien käyttöä. |
Voivatko eteenpäin ja taaksepäin toimivat välityspalvelimet toimia yhdessä?
Kyllä. Yritysasiakas voi lähettää lähtevän pyynnön välityspalvelimen kautta, kun taas kohde vastaanottaa sen käänteisen välityspalvelimen tai CDN:n kautta. Jokainen välittäjä palvelee eri omistajaa ja käytäntörajaa.
Esimerkiksi työntekijän selain todentaa itsensä yrityksen lähtevän liikenteen välityspalvelimelle. Tämä välityspalvelin muodostaa yhteyden julkisen sovelluksen reunayhdyskäytävään. Käänteinen välityspalvelin lopettaa TLS:n, soveltaa WAF-sääntöä ja reitittää pyynnön toimivaan lähteeseen. Vianmääritys edellyttää korrelaatiotunnuksia, synkronoituja kelloja ja lokeja molemmilla puolilla paljastamatta salaisuuksia.
UKK
Voiko sama ohjelmisto toimia sekä eteenpäin että taaksepäin suuntautuvana välityspalvelimena?
Kyllä. Jotkin alustat tukevat molempia rooleja, mutta niiden tulisi käyttää erillisiä kuuntelijoita, käytäntöjä, tunnistetietoja, lokeja ja luottamusrajoja. Yhdelle roolille tarkoitettua kokoonpanoa ei tule paljastaa toisena.
Tekeekö välityspalvelin käyttäjästä anonyyminä?
Se piilottaa suoran asiakkaan IP-osoitteen sen kautta tavoitetuilta kohteilta, mutta tilit, evästeet, selaimen sormenjäljet, lokit ja laitesignaalit voivat silti tunnistaa käyttäjän.
Onko CDN käänteinen välityspalvelin?
CDN toimii yleensä hajautettuna käänteisenä välityspalvelimena, joka palvelee välimuistissa olevaa sisältöä, katkaisee yhteydet, soveltaa reunakäytäntöä ja välittää välimuistissa olevat epäonnistuneet tiedot edelleen alkuperälle.
Missä käänteisen välityspalvelimen tulisi päättyä TLS:n?
Monissa käyttöönotoissa TLS lopetetaan välityspalvelimella ja muodostetaan erillinen salattu yhteys alkuperään. Oikea suunnittelu riippuu vaatimustenmukaisuudesta, luottamusrajoista, varmenteiden hallinnasta ja suorituskyvystä.
Voiko käänteinen välityspalvelin korvata palomuurin?
Ei. Se voi valvoa sovelluskerroksen käytäntöjä, mutta verkon palomuurit, isäntälaitteiden hallinta, identiteetti, korjauspäivitykset, segmentointi ja suojattu sovelluskoodi ovat edelleen välttämättömiä.
Miten valitsen eteenpäin suuntautuvan ja käänteisen välityspalvelimen välillä?
Valitse sen perusteella, ketä välityspalvelin edustaa. Käytä eteenpäin suuntautuvaa välityspalvelinta asiakasliikenteen hallintaan ja käänteistä välityspalvelinta palvelimien ja sovellusten käytön hallintaan.
Johtopäätös: Käänteinen välityspalvelin vs. eteenpäin suuntautuva välityspalvelin
Eteenpäin suuntautuva välityspalvelin on asiakaspuolen ohjauspiste lähtevälle liikenteelle. Käänteinen välityspalvelin on palvelinpuolen ohjauspiste saapuvalle liikenteelle. Ne voivat käyttää samanlaista ohjelmistoa ja HTTP-mekanismeja, mutta niiden omistajat, luottamusrajat, lokit, virheiden vaikutukset ja suojauskäytännöt ovat erilaisia.
Valitse rooli tunnistamalla suojattu osapuoli ja liikenteen suunta. Suunnittele sitten todennus, TLS, havaittavuus, redundanssi ja datan säilytys kyseisen rajan ympärille.