Webプロキシとは何ですか？

Webプロキシとは、クライアントとクライアントがアクセスするWebサイトの間に位置する仲介サーバーであり、自身のIPアドレスを使用してHTTPおよびHTTPSリクエストを転送します。宛先サイトにはプロキシのアドレスしか表示されないため、プロキシはセキュリティポリシーを適用したり、コンテンツをキャッシュしてブラウジングを高速化したり、元のユーザーの匿名性を維持したりすることができます。

主なポイント

• 自身のIPアドレスを介してWebリクエストを転送し、クライアントのアドレスを隠蔽します。
• クライアントは、明示的にHTTP CONNECTを介して接続するか、あるいは透過的に接続します。
• キャッシュ、URLフィルタリング、および検査のためのTLS復号を有効にします。
• SD-WANのトラフィックステアリングでは、トランスポートまたはアプリケーションごとにプロキシトラフィックをルーティングできます。
• プロキシの連鎖により、ブランチは特定のトラフィックを別のプロキシに転送することができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ WebプロキシとVersa · よくある質問

Webプロキシはなぜ重要なのでしょうか？

企業ではかねてより、インターネット向けのトラフィックを管理する拠点としてWebプロキシが利用されてきました。すべてのHTTP/HTTPSリクエストを1つの中継サーバーを経由させることで、セキュリティチームは、URLフィルタリングの適用、TLSセッションの検査、およびどのユーザーがどのサイトにアクセスしたかのログ記録を、一元的に行うことができます。これは、数十の支店からトラフィックが直接流出してしまうと再現が困難になる管理手法です。また、宛先サーバーにはプロキシのアドレスしか表示されないため、クライアントのアドレスがアクセス先のサイトから隠蔽されるという利点もあります。

プロキシは運用面でも重要です。エンドポイントは、LAN全体のデフォルトルートではなく、多くの場合PACファイルを介して設定されたプロキシアドレスを経由してインターネットに接続し、キャッシュ機能により、繰り返し行われるリクエストは再取得されることなくローカルで処理されます。SD-WANによってインターネットアクセスが中央集約型から各支店ごとの直接接続へと移行しても、プロキシトラフィックには依然として明確な外部への経路が必要であるため、プロキシはトラフィックステアリングに取って代わられるのではなく、むしろトラフィックステアリングと組み合わせて活用されるケースが増えてきています。

Webプロキシとは何ですか？

Webプロキシは、クライアントとアクセス先のサイトの間に位置します。クライアントはHTTPまたはHTTPSリクエストをプロキシに送信し、プロキシはクライアントに代わって宛先へリクエストを行います。明示モードでは、クライアントは手動またはPACファイルを介してプロキシのアドレスとポートを設定し、HTTP CONNECTを使用してプロキシにターゲットへの接続確立を依頼します。この場合、クライアントはDNS解決を行わず、代わりにプロキシがそれを行います。 透過モードでは、クライアント側での設定を必要とせず、通信経路上でトラフィックが傍受されます。

TLSインスペクションが必要な場合、プロキシはクライアントとのTLSセッションを1つ終了させ、サーバーとの間で別のセッションを確立し、その間にトラフィックの復号と再暗号化を行います。この設計では、プロキシがクライアントに対して宛先を装うために使用するCA証明書が必要となります。

Webプロキシの種類

明示的なWebプロキシが最も一般的な形式です。クライアントにはプロキシのアドレスとポートが設定され、CONNECTリクエストを直接送信します。これにより、通信内容が完全に可視化されますが、通常はPACファイルを介してエンドポイントを設定する必要があります。

透過型Webプロキシは、クライアント側の設定を一切行わなくても、経路上のトラフィックを傍受します。これは、クライアントが依然として集中管理された明示的なプロキシを指し続けている場合でも、支社が特定のSaaSトラフィックをローカルで外部に送信する必要がある場合に役立ちます。

チェーン（カスケード）化されたWebプロキシは、特定のトラフィックをインターネットへ直接送信するのではなく、あるプロキシから別のプロキシへと転送します。例えば、ある支店では1つのSaaSアプリケーションをローカルで直接利用しつつ、残りのトラフィックをデータセンターのプロキシへチェーンで接続する場合などが挙げられます。

クラウド経由のプロキシは、同じ機能をクラウドセキュリティプロバイダーのPoP（接続拠点）に移行し、GREまたはIPsecトンネルを介してアクセスするため、オンプレミスのアプライアンスは不要です。

Webプロキシ &Versa

VOSデバイスはWebプロキシとして機能し、設定されたIPアドレスとポートでHTTP CONNECTリクエストをリッスンし、通過するすべてのトラフィックに対してファイアウォール、URLフィルタリング、およびTLS復号ポリシーを適用します。 「SD-WANトラフィックステアリングを備えた明示的なWebプロキシ」では、具体的な例を詳しく解説しています。VOSはクライアントのTLSセッションを終了させ、復号化されたトラフィックを検査し、実際の宛先に向けて再暗号化します。その間、DNSプロキシプロファイルがクライアントに代わってホスト名の解決を行います。

プロキシトラフィックはSD-WANエンジンにとっては単なるもう1つのフローに過ぎないため、トラフィックステアリングルールによってアプリケーションやURLカテゴリに基づいてこれを照合し、特定のトランスポートに割り当てることができます。『Versa SD-WAN設計ガイド』では、DNSプロキシに加え、集中型、透過型、チェーン型プロキシといったより広範なパターンについて解説しています。

よくある質問

明示プロキシと透過プロキシの違いは何ですか？

明示的なプロキシでは、クライアントにプロキシのアドレスとポートを設定し、CONNECTリクエストを直接送信する必要があります。透過型プロキシは、クライアントの設定を必要とせずに経路上のトラフィックを傍受するため、支社がセッションをローカルにリダイレクトする必要がある場合に役立ちます。

Webプロキシはファイアウォールの代わりになるのでしょうか？

いいえ。Webプロキシはトラフィックを転送し、その内容を検査することもできますが、企業ではこれをファイアウォールポリシー、URLフィルタリング、TLS復号と組み合わせています。つまり、プロキシはボトルネックであり、ファイアウォールがポリシーを担うのです。

Webプロキシは、なぜHTTPSのTLS復号化が必要なのでしょうか？

復号を行わない場合、プロキシには暗号化されたバイト列しか表示されません。復号を有効にすると、プロキシはクライアントとのTLSセッションを終了し、平文を検査した後、アップロードされたCA証明書を使用して正当な中間者（man-in-the-middle）として振る舞い、実際のサーバーとの2つ目のセッションを開きます。

SD-WANのステアリング機能により、プロキシトラフィックがどのリンクを使用するかを制御することはできますか？

はい。プロキシセッションは、SD-WANエンジンにとっては通常のトラフィックであるため、ステアリングルールによって宛先、アプリケーション、またはURLカテゴリに基づいてこれらを照合し、優先するトランスポートに割り当て、自動フェイルオーバーを行うことができます。

プロキシチェーンとは何ですか？

プロキシの連鎖とは、特定のトラフィックをインターネットに直接送信するのではなく、あるWebプロキシから別のWebプロキシへと転送する仕組みです。例えば、ある支店では、1つのSaaSアプリケーションをローカルで直接利用しつつ、残りのトラフィックをデータセンターのプロキシに転送する場合などが挙げられます。

Webプロキシの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

Webプロキシについて調べているなら、次はこれらもぜひチェックしてみてください。