Was ist ein Proxyserver?
Ein Proxyserver nimmt eine Anfrage entgegen und reicht sie an einen anderen Server weiter. Ein Forward-Proxy handelt im Auftrag eines Clients, ein Reverse-Proxy steht vor einem oder mehreren Anwendungsservern. Proxys können Anfragen filtern, Antworten zwischenspeichern, Zugriffe steuern oder Last verteilen. Wie viel sie nützen, hängt von der Konfiguration ab – und davon, wie sehr man dem Betreiber vertraut.
Forward- und Reverse-Proxys
Unternehmen richten für die Geräte ihrer Mitarbeiter häufig einen Forward-Proxy ein, um Zugriffsregeln durchzusetzen oder oft angefragte Inhalte im Cache vorzuhalten. Das Ziel sieht dann die Verbindung des Proxys, wobei Header der Anwendung trotzdem Informationen über den ursprünglichen Client enthalten können. Ein Reverse-Proxy nimmt den öffentlichen Datenverkehr einer Website entgegen und leitet ihn an einen Origin-Server weiter; dabei terminiert er oft TLS, verteilt Anfragen oder verbirgt die Adresse des Origin-Servers.
Proxys arbeiten auf unterschiedlichen Protokollebenen. Ein HTTP-Proxy versteht HTTP-Anfragen, SOCKS leitet Netzwerkverbindungen allgemeiner weiter. Authentifizierung, DNS-Auflösung und unterstützte Protokolle unterscheiden sich im Detail. Lesen Sie die Dokumentation des konkreten Dienstes, statt anzunehmen, dass jeder Proxy Browser- und sonstigen Datenverkehr gleich behandelt.
Grenzen beim Datenschutz
Der Betreiber eines Forward-Proxys kann Verbindungsdetails einsehen und – sofern der Verkehr nicht durchgehend verschlüsselt ist – auch Inhalte. Bei HTTPS sieht ein normaler Proxy unter Umständen den Zielnamen oder Verbindungsmetadaten, die verschlüsselten Nutzdaten bleiben aber geschützt, solange der Client nicht ausdrücklich einem Abfangzertifikat vertraut. Das Ziel kann einen Nutzer dennoch über die Kontoanmeldung, Cookies oder Browsermerkmale erkennen.
Ein Proxy löscht keine Aktivitätsprotokolle, die Betreiber, Ziel oder Netzanbieter speichern. Kostenlose öffentliche Proxys sind oft unzuverlässig oder sogar feindselig. Senden Sie keine Passwörter oder sensiblen Daten über einen Dienst, dem Sie nicht vertrauen. Geht es Ihnen um Privatsphäre, legen Sie fest, vor welchem Beobachter Sie sich schützen wollen, und prüfen Sie die Angaben des Proxys zu Protokollierung und Rechtsraum kritisch.
Leistung und Zuverlässigkeit
Caching kann wiederholte Downloads einsparen, sofern Antworten cachebar sind, und ein Reverse-Proxy kann Anfragen auf mehrere Backends verteilen. Ein zusätzlicher Hop kann jedoch Latenz verursachen oder zum Single Point of Failure werden. Veraltete Cache-Einträge zeigen unter Umständen überholte Daten, und falsch konfigurierte Header können die Client-Adresse preisgeben oder die Authentifizierung der Anwendung stören. Überwachen Sie Fehler und testen Sie nach einer Änderung am Proxy den tatsächlichen Weg der Nutzer.
Schützen Sie bei einer Website den Origin-Server mit passenden Zugriffsregeln, prüfen Sie weitergeleitete Header nur aus vertrauenswürdigen Quellen und bewahren Sie die echte Client-Adresse nur dort auf, wo Sicherheit und Betrieb sie erfordern. Ein vom Client gelieferter Forwarding-Header lässt sich fälschen und taugt nicht als Identitätsnachweis.
Wann sich ein Proxy eignet
Ein Forward-Proxy eignet sich für eine klar definierte Unternehmensrichtlinie, ein Reverse-Proxy für die Auslieferung und Ausfallsicherheit von Websites. Vergleichen Sie unterstützte Protokolle, Protokollierung, Authentifizierung, Grenzen und das Verhalten im Fehlerfall. Testen Sie den Zugriff mit und ohne Proxy, um ein Proxyproblem von DNS-, Routing- oder Origin-Server-Fehlern zu unterscheiden.
Proxy, VPN und Datenlecks sind getrennte Fragen
Ein Proxy, der nur im Browser eingerichtet ist, muss weder DNS noch den Datenverkehr anderer Anwendungen übertragen. Ein VPN baut meist einen umfassenderen Tunnel auf, doch auch hier kommt es auf Routen und Konfiguration an. Prüfen Sie sichtbare IP, DNS und Browsermechanismen getrennt; siehe DNS-Leaks und IP-Preisgabe über WebRTC.