Was ist der Unterschied zwischen einem Forward-Proxy und einem Reverse-Proxy?
Kurzantwort
Ein Forward-Proxy steht vor den Clients und stellt ausgehende Anfragen in deren Namen — für Egress-Kontrolle, Filterung, Caching und Anonymität. Ein Reverse-Proxy steht vor den Servern und empfängt eingehende Anfragen in deren Namen — für Lastausgleich, TLS-Terminierung, Caching und als Sicherheitsfassade für eine WAF. Die Richtung, in die er zeigt, clientseitig oder serverseitig, ist die entscheidende Unterscheidung.
Beide sind Vermittler, die Verkehr weiterleiten, aber sie sitzen an entgegengesetzten Enden des Gesprächs und dienen unterschiedlichen Eigentümern. Die Richtung richtig zu treffen — und die Sicherheits-Anwendungsfälle — ist das, was der Interviewer prüft.
Forward-Proxy: vor den Clients
Ein Forward-Proxy handelt im Auftrag der Clients hinter ihm. Ist der Browser eines Nutzers darauf konfiguriert, gehen seine Anfragen an den Proxy, der sie ins Internet weiterleitet und die Antwort zurückgibt. Der Proxy kennt die Clients; der Zielserver sieht in der Regel nur die IP des Proxys.
Typische Einsätze sind clientseitig: das Durchsetzen einer Nutzungsrichtlinie und Egress-Filterung, Inhaltsfilterung, Caching zur Bandbreitenersparnis, Protokollierung/DLP für ausgehenden Verkehr und das Bereitstellen von Anonymität durch Verbergen des echten Clients.
Reverse-Proxy: vor den Servern
Ein Reverse-Proxy handelt im Auftrag der Server hinter ihm. Clients im Internet verbinden sich mit dem Reverse-Proxy in der Annahme, er sei der Server; er leitet an eines von mehreren Backends weiter und gibt die Antwort zurück. Der Client weiß nicht, wie viele Server existieren oder welche echten Adressen sie haben.
Typische Einsätze sind serverseitig: Lastausgleich über Backends, TLS-Terminierung (einmaliges Entschlüsseln am Rand), Caching und Kompression sowie das Wirken als Engstelle, an der eine WAF, Ratenbegrenzung und DDoS-Schutz angewendet werden. Beispiele sind Nginx, HAProxy und CDN-Edges.
Das mentale Modell
Dieselbe Mechanik, entgegengesetzte Absicht: ein Forward-Proxy verbirgt und kontrolliert die Clients; ein Reverse-Proxy verbirgt und schützt die Server. Ein Load Balancer ist im Wesentlichen ein spezialisierter Reverse-Proxy, der auf die Verteilung eingehender Last fokussiert ist.
Interviewer erwarten die Einordnung clientseitig vs. serverseitig und mindestens einen korrekten Sicherheits-Anwendungsfall für jede Richtung.
Wahrscheinliche Anschlussfragen
- Wie hilft ein Reverse-Proxy bei der TLS-Terminierung und einer WAF?
- Wie nutzen Unternehmen Forward-Proxys für Data Loss Prevention und Egress-Filterung?
- Wo passt ein Load Balancer im Verhältnis zu einem Reverse-Proxy?