Qu'est-ce qu'un proxy Web ?

Un proxy Web est un serveur intermédiaire qui se situe entre un client et les sites Web qu'il consulte, et qui transmet les requêtes HTTP et HTTPS en utilisant sa propre adresse IP. Comme le site de destination ne voit que l'adresse du proxy, celui-ci peut appliquer une politique de sécurité, mettre le contenu en cache pour accélérer la navigation et préserver l'anonymat de l'utilisateur d'origine.

Points clés à retenir

• Transmet les requêtes Web via sa propre adresse IP, en masquant celle du client.
• Les clients se connectent soit explicitement via HTTP CONNECT, soit de manière transparente.
• Active la mise en cache, le filtrage des URL et le déchiffrement TLS à des fins d'inspection.
• Le routage du trafic SD-WAN permet d'acheminer le trafic proxy en fonction du mode de transport ou de l'application.
• Le chaînage de proxys permet à une succursale de rediriger un trafic spécifique vers un autre proxy.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Proxy Web et Versa · FAQ

Pourquoi un proxy Web est-il important ?

Les entreprises utilisent depuis longtemps des proxys Web comme point de contrôle du trafic destiné à Internet. Le fait de faire transiter chaque requête HTTP/HTTPS par un intermédiaire unique permet aux équipes de sécurité de disposer d’un point central pour appliquer le filtrage des URL, inspecter les sessions TLS et consigner quels utilisateurs ont accédé à quels sites – un contrôle difficile à reproduire lorsque le trafic provient directement de dizaines de succursales. Comme le serveur de destination ne voit que l’adresse du proxy, cela permet également de masquer les adresses des clients aux sites qu’ils visitent.

Les proxys jouent également un rôle opérationnel : les terminaux accèdent à Internet via l’adresse proxy configurée, souvent à l’aide d’un fichier PAC, plutôt que par une route par défaut couvrant l’ensemble du réseau local, et la mise en cache permet de répondre localement aux requêtes répétées au lieu de les récupérer à nouveau. Alors que le SD-WAN fait passer l’accès à Internet d’une sortie centralisée à une sortie directe par succursale, le trafic proxy a toujours besoin d’un chemin de sortie clair ; il est donc de plus en plus souvent associé à l’orientation du trafic plutôt que remplacé par celle-ci.

Qu'est-ce qu'un proxy Web ?

Un proxy Web se situe entre un client et le site auquel il accède : le client envoie sa requête HTTP ou HTTPS au proxy, qui transmet cette requête à la destination au nom du client. En mode explicite, le client est configuré, manuellement ou via un fichier PAC, avec l’adresse et le port du proxy, et utilise la commande HTTP CONNECT pour demander au proxy d’ouvrir une connexion vers la cible ; le client ne procède pas à la résolution DNS, c’est le proxy qui s’en charge. En mode transparent, le trafic est intercepté en cours de route sans aucune configuration côté client.

Lorsque l'inspection TLS est requise, le proxy met fin à une session TLS avec le client et en ouvre une seconde avec le serveur, en déchiffrant puis en rechiffrant le trafic en cours de route – une architecture qui nécessite un certificat d'autorité de certification (CA) que le proxy utilise pour se faire passer pour la destination auprès du client.

Types de proxys Web

Le proxy Web explicite est la forme la plus courante : le client est configuré avec l'adresse et le port du proxy et envoie directement des requêtes CONNECT, ce qui offre une visibilité totale mais nécessite la configuration des points de terminaison, généralement via un fichier PAC.

Un proxy web transparent intercepte le trafic en cours de route sans nécessiter de configuration côté client – ce qui s'avère utile lorsqu'une succursale doit acheminer localement un trafic SaaS spécifique, même si les clients continuent de pointer vers un proxy centralisé explicitement désigné.

Un proxy Web en chaîne (en cascade) redirige un trafic spécifique d'un proxy vers un autre au lieu de l'acheminer directement vers Internet ; par exemple, une succursale qui exécute localement une application SaaS tout en redirigeant le reste du trafic vers un proxy situé dans un centre de données.

Un proxy hébergé dans le cloud transfère cette même fonctionnalité vers les points de présence d'un fournisseur de sécurité cloud, accessibles via un tunnel GRE ou IPsec, ce qui rend inutile l'utilisation d'un appareil sur site.

Proxy Web & Versa

Les appareils VOS peuvent faire office de proxy Web : ils écoutent les requêtes HTTP CONNECT sur une adresse IP et un port configurés, et appliquent des règles de pare-feu, de filtrage d’URL et de décryptage TLS à tout le trafic qui les traverse. La section « Proxy Web explicite avec orientation du trafic SD-WAN » présente un exemple complet : le VOS met fin à la session TLS du client, inspecte le trafic déchiffré, puis le rechiffre vers la destination réelle, tandis qu’un profil de proxy DNS résout les noms d’hôtes à sa place.

Le trafic proxy n'étant qu'un flux parmi d'autres pour le moteur SD-WAN, les règles d'acheminement du trafic peuvent le cibler par application ou par catégorie d'URL et l'affecter à un mode de transport. Le guide de conception SD-WAN d'Versa aborde ce modèle de manière plus générale : les proxys centralisés, transparents et en chaîne, ainsi que le proxy DNS.

Questions fréquentes

Quelle est la différence entre un proxy explicite et un proxy transparent ?

Les proxys explicites nécessitent que le client soit configuré avec l'adresse et le port du proxy et qu'il envoie directement des requêtes CONNECT. Les proxys transparents interceptent le trafic en cours de route sans nécessiter de configuration du client, ce qui est utile lorsqu'une succursale doit rediriger des sessions au niveau local.

Un proxy Web remplace-t-il un pare-feu ?

Non. Un proxy web transfère le trafic et peut l'inspecter, mais les entreprises l'associent à une politique de pare-feu, à un filtrage d'URL et au décryptage TLS : le proxy constitue le point d'étranglement, tandis que le pare-feu définit la politique.

Pourquoi un proxy Web a-t-il besoin du déchiffrement TLS pour le protocole HTTPS ?

Sans décryptage, un proxy ne voit que des octets chiffrés. Lorsque le décryptage est activé, il met fin à la session TLS du client, examine le texte en clair, puis ouvre une deuxième session vers le véritable serveur, agissant ainsi comme un intermédiaire autorisé à l'aide d'un certificat d'autorité de certification (CA) téléchargé.

Le routage SD-WAN permet-il de contrôler la liaison utilisée par le trafic proxy ?

Oui. Les sessions proxy constituent des flux ordinaires pour le moteur SD-WAN ; les règles de routage peuvent donc les identifier en fonction de leur destination, de l'application ou de la catégorie d'URL, et les affecter à un mode de transport privilégié, avec basculement automatique en cas de défaillance.

Qu'est-ce que le chaînage de proxys ?

Le chaînage de proxys permet de rediriger un trafic spécifique d'un proxy Web vers un autre au lieu de l'envoyer directement sur Internet. Par exemple, une succursale peut exécuter localement une application SaaS tout en redirigeant le reste du trafic vers un proxy situé dans un centre de données.

En savoir plus sur les proxys Web

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux proxys Web, voici quelques liens qui pourraient vous intéresser.