Was ist ein Web-Proxy?

Ein Web-Proxy ist ein Zwischenserver, der zwischen einem Client und den von ihm besuchten Websites steht und HTTP- und HTTPS-Anfragen unter seiner eigenen IP-Adresse weiterleitet. Da die Zielwebsite nur die Adresse des Proxys sieht, kann der Proxy Sicherheitsrichtlinien durchsetzen, Inhalte zwischenspeichern, um das Surfen zu beschleunigen, und die Anonymität des ursprünglichen Nutzers wahren.

Die wichtigsten Erkenntnisse

• Leitet Webanfragen unter seiner eigenen IP-Adresse weiter und verbirgt dabei die Adresse des Clients.
• Clients stellen entweder explizit über HTTP CONNECT oder transparent eine Verbindung her.
• Aktiviert Caching, URL-Filterung und TLS-Entschlüsselung zur Überprüfung.
• Die SD-WAN-Verkehrssteuerung kann Proxy-Verkehr nach Transportprotokoll oder Anwendung weiterleiten.
• Durch Proxy-Verkettung kann eine Filiale bestimmten Datenverkehr an einen anderen Proxy weiterleiten.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Web-Proxy & Versa · Häufig gestellte Fragen

Warum ist ein Web-Proxy wichtig?

Unternehmen nutzen seit langem Web-Proxys als Kontrollpunkt für den Internetverkehr. Indem jede HTTP/HTTPS-Anfrage über einen einzigen Vermittler geleitet wird, erhalten Sicherheitsteams eine zentrale Stelle, an der sie URL-Filter anwenden, TLS-Sitzungen überprüfen und protokollieren können, welche Nutzer welche Websites aufgerufen haben – eine Kontrolle, die kaum noch zu gewährleisten ist, sobald der Datenverkehr direkt aus Dutzenden von Niederlassungen erfolgt. Da der Zielserver nur die Adresse des Proxys sieht, werden die Adressen der Clients vor den von ihnen besuchten Websites verborgen.

Proxys spielen auch in betrieblicher Hinsicht eine wichtige Rolle: Endgeräte greifen über die konfigurierte Proxy-Adresse – häufig über eine PAC-Datei – auf das Internet zu, anstatt über eine LAN-weite Standardroute, und das Caching bedient wiederholte Anfragen lokal, anstatt sie erneut abzurufen. Da SD-WAN den Internetzugang von einem zentralen Breakout auf einen direkten Breakout pro Niederlassung verlagert, benötigt der Proxy-Verkehr weiterhin einen klaren Ausgangspfad – daher wird er zunehmend mit Traffic-Steering kombiniert, anstatt durch dieses ersetzt zu werden.

Was ist ein Web-Proxy?

Ein Web-Proxy befindet sich zwischen einem Client und der Website, auf die dieser zugreift: Der Client sendet seine HTTP- oder HTTPS-Anfrage an den Proxy, der die Anfrage im Namen des Clients an das Ziel weiterleitet. Im expliziten Modus wird der Client manuell oder über eine PAC-Datei mit der Adresse und dem Port des Proxys konfiguriert und fordert den Proxy mittels HTTP CONNECT auf, eine Verbindung zum Ziel herzustellen; der Client überspringt dabei die DNS-Auflösung, die stattdessen vom Proxy durchgeführt wird. Im transparenten Modus wird der Datenverkehr ohne clientseitige Konfiguration direkt auf dem Übertragungsweg abgefangen.

Wenn eine TLS-Prüfung erforderlich ist, beendet der Proxy eine TLS-Sitzung mit dem Client und eröffnet eine zweite mit dem Server, wobei er den Datenverkehr zwischendurch entschlüsselt und erneut verschlüsselt – ein Konzept, das ein CA-Zertifikat erfordert, mit dem sich der Proxy gegenüber dem Client als Zielserver ausgibt.

Arten von Web-Proxys

Der explizite Web-Proxy ist die gängigste Form: Der Client wird mit der Adresse und dem Port des Proxys konfiguriert und sendet CONNECT-Anfragen direkt, was vollständige Transparenz bietet, jedoch die Einrichtung der Endpunkte erfordert, in der Regel über eine PAC-Datei.

Ein transparenter Web-Proxy fängt den Datenverkehr auf dem Übertragungsweg ab, ohne dass eine Konfiguration auf Client-Seite erforderlich ist – dies ist nützlich, wenn eine Niederlassung bestimmten SaaS-Datenverkehr lokal weiterleiten muss, obwohl die Clients weiterhin auf einen zentralen, expliziten Proxy verweisen.

Ein verketteter (kaskadierter) Web-Proxy leitet bestimmten Datenverkehr von einem Proxy zum nächsten weiter, anstatt ihn direkt ins Internet zu leiten. Ein Beispiel hierfür ist eine Niederlassung, die eine SaaS-Anwendung lokal nutzt, während der restliche Datenverkehr an einen Proxy im Rechenzentrum weitergeleitet wird.

Ein cloudbasierter Proxy verlagert dieselbe Funktion auf die Präsenzpunkte eines Cloud-Sicherheitsanbieters, die über einen GRE- oder IPsec-Tunnel erreicht werden, sodass keine lokale Appliance erforderlich ist.

Web-Proxy & Versa

VOS-Geräte können als Web-Proxy fungieren, indem sie auf einer konfigurierten IP-Adresse und einem konfigurierten Port auf HTTP-CONNECT-Anfragen warten und alle durchlaufenden Daten anhand von Richtlinien für Firewall, URL-Filterung und TLS-Entschlüsselung prüfen. „Explicit Web Proxy mit SD-WAN-Traffic-Steering“ führt durch ein vollständiges Beispiel: VOS beendet die TLS-Sitzung des Clients, überprüft den entschlüsselten Datenverkehr und verschlüsselt ihn erneut für die Weiterleitung zum eigentlichen Ziel, während ein DNS-Proxy-Profil die Hostnamen in seinem Auftrag auflöst.

Da Proxy-Datenverkehr für die SD-WAN-Engine lediglich ein weiterer Datenfluss ist, können Datenverkehrssteuerungsregeln diesen nach Anwendung oder URL-Kategorie zuordnen und ihn einem Transport zuweisen. Der SD-WAN-Entwurfsleitfaden „Versa “ behandelt das übergeordnete Muster: zentralisierte, transparente und verkettete Proxys neben DNS-Proxys.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem expliziten und einem transparenten Proxy?

Bei expliziten Proxys muss der Client mit der Adresse und dem Port des Proxys konfiguriert werden und CONNECT-Anfragen direkt senden. Transparente Proxys fangen den Datenverkehr auf dem Übertragungsweg ab, ohne dass eine Konfiguration des Clients erforderlich ist. Dies ist nützlich, wenn eine Niederlassung Sitzungen lokal umleiten muss.

Ersetzt ein Web-Proxy eine Firewall?

Nein. Ein Web-Proxy leitet den Datenverkehr weiter und kann ihn überprüfen, doch Unternehmen kombinieren ihn mit Firewall-Richtlinien, URL-Filterung und TLS-Entschlüsselung – der Proxy ist der Engpass, die Firewall die Richtlinie.

Warum benötigt ein Web-Proxy eine TLS-Entschlüsselung für HTTPS?

Ohne Entschlüsselung sieht ein Proxy nur verschlüsselte Bytes. Ist die Entschlüsselung aktiviert, beendet er die TLS-Sitzung des Clients, überprüft den Klartext und eröffnet anschließend eine zweite Sitzung zum eigentlichen Server, wobei er mithilfe eines hochgeladenen CA-Zertifikats als autorisierter Man-in-the-Middle auftritt.

Kann die SD-WAN-Steuerung festlegen, welche Verbindung der Proxy-Verkehr nutzt?

Ja. Proxy-Sitzungen sind für die SD-WAN-Engine ganz normale Datenflüsse, sodass sie anhand von Ziel, Anwendung oder URL-Kategorie von Weiterleitungsregeln erfasst und einem bevorzugten Transport zugeordnet werden können – mit automatischem Failover.

Was ist Proxy-Verkettung?

Bei der Proxy-Verkettung wird bestimmter Datenverkehr von einem Web-Proxy an einen anderen weitergeleitet, anstatt ihn direkt ins Internet zu senden – beispielsweise in einer Niederlassung, die eine SaaS-Anwendung lokal ausführt, während der Rest an einen Proxy im Rechenzentrum weitergeleitet wird.

Mehr zum Thema Web-Proxy

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Web-Proxys informieren, sollten Sie sich als Nächstes diese Artikel ansehen.