Servidores proxy: Parte 1 — Para qué sirven y cómo funcionan

Un proxy es un programa que acepta solicitudes de red de un cliente y las reenvía al servidor de destino. La respuesta también pasa por el proxy. Como resultado, el cliente y el servidor no se conectan directamente, y el proxy obtiene la posibilidad de inspeccionar, modificar, cachear y registrar el tráfico.

Proxy directo, inverso y transparente

Los proxys se distinguen por el lado en el que operan.

Proxy directo (forward proxy) se encuentra en el lado de los clientes, por ejemplo en la salida de la red de la oficina hacia Internet. Los navegadores y programas están configurados explícitamente para usarlo. Los sitios destino ven la dirección IP del proxy, no las direcciones de los empleados. El proxy directo se utiliza para:

• control de acceso: a quién y a qué recursos se le permite acceder;
• autenticación: acceso a Internet solo con usuario y contraseña;
• registro: quién, cuándo y a dónde se conectó;
• filtrado: bloqueo de sitios y tipos de archivos no deseados;
• salida a Internet con una dirección IP fija, por ejemplo para que un servicio externo permita solo la dirección de la empresa.

Proxy inverso (reverse proxy) se sitúa en el lado de los servidores y acepta solicitudes desde Internet en su lugar. El cliente se dirige a example.ru y no sabe cuántos servidores están detrás del proxy ni dónde se encuentran. El proxy inverso se usa para:

• balanceo de carga — repartir solicitudes entre varias instancias de una aplicación;
• terminación TLS — los certificados y el cifrado se gestionan en un solo lugar, y las aplicaciones funcionan por HTTP normal en la red interna;
• enrutamiento — /api/ va a un servidor, el resto a otro; shop.example.ru y blog.example.ru son servidos por distintas aplicaciones en una misma dirección IP;
• cacheo de respuestas de la aplicación;
• limitación de frecuencia y protección contra fuerza bruta de contraseñas;
• ocultamiento de la infraestructura interna — hacia fuera solo está expuesto el proxy.

Proxy transparente (transparent proxy) intercepta el tráfico sin configuración en el lado del cliente: el enrutador o el firewall redirigen las conexiones al proxy, por ejemplo con la regla REDIRECT o TPROXY en Linux. Para HTTP normal esto funciona sin que el usuario lo note. Un proxy transparente no ve el contenido de HTTPS sin configuración especial: solo tiene disponible el nombre del sitio del apretón de manos TLS (SNI). Para inspeccionar HTTPS, el proxy debe descifrar el tráfico, y es necesario instalar un certificado raíz de la organización en todos los equipos. Esto es un esquema complejo y sensible desde el punto de vista de la seguridad, y debe usarse solo donde realmente sea necesario.

Qué tráfico pasa por el proxy

Proxy HTTP y el método CONNECT

Un proxy HTTP entiende el protocolo HTTP: ve la dirección, encabezados y cuerpo de la solicitud, puede cachear respuestas y filtrar por URL. Para HTTPS el navegador usa el método CONNECT (RFC 9110): le pide al proxy abrir una conexión TCP con example.ru:443, tras lo cual el proxy simplemente transmite bytes cifrados en ambas direcciones. En este modo el proxy sabe a qué sitio se está conectando, pero no ve qué páginas se abren ni qué se transmite en ellas.

SOCKS5

SOCKS5 (RFC 1928) opera a un nivel inferior y no analiza el protocolo de aplicación. El cliente informa al proxy la dirección y el puerto de destino, y el proxy establece la conexión en su nombre. Por eso por SOCKS5 pasa cualquier tráfico TCP — clientes de correo, SSH, bases de datos, mensajería — y, si se soporta el comando UDP ASSOCIATE, también UDP. SOCKS5 soporta autenticación por usuario y contraseña (RFC 1929). No puede cachear ni filtrar por contenido: no sabe qué hay dentro de la conexión.

Proxy TCP y TLS: terminación o paso a través

Un proxy inverso puede trabajar con TLS de dos maneras:

• terminación — el proxy descifra el tráfico, ve las solicitudes HTTP y puede enrutar según la ruta, añadir encabezados, cachear. El certificado se guarda en el proxy;
• passthrough (paso a través) — el proxy transmite la conexión cifrada al servidor sin descifrarla. Solo se puede enrutar por el nombre del sitio en SNI. El certificado permanece en el servidor final.

La terminación es más conveniente y ofrece más posibilidades. El paso a través es necesario cuando la clave del certificado no debe salir del servidor de la aplicación o cuando la propia aplicación verifica certificados de cliente.

Cómo el servidor conoce la dirección del cliente

Detrás de un proxy inverso la aplicación ve todas las conexiones desde la dirección IP del proxy. Para transmitir la dirección real del cliente se usan:

• el encabezado X-Forwarded-For (y X-Forwarded-Proto para el esquema original — http o https) — para HTTP;
• PROXY protocol — un pequeño encabezado al inicio de la conexión TCP que añade el proxy. Lo soportan HAProxy, Nginx y muchas aplicaciones; es adecuado también para tráfico no HTTP.

Solo se puede confiar en estos datos cuando provienen de su proxy. De lo contrario, el cliente puede insertar cualquier dirección en X-Forwarded-For. Por eso en la aplicación o en el siguiente proxy se especifica una lista de direcciones de confianza desde las que se aceptan estos encabezados.

Cómo comprobar que se está trabajando a través de un proxy

Es conveniente comprobar el funcionamiento del proxy con la utilidad curl. Solicitud a través de un proxy HTTP con autenticación:

curl -x http://user:password@proxy.example.ru:3128 https://example.ru/

Solicitud a través de SOCKS5, en la que el propio proxy resuelve el nombre del sitio y no el cliente:

curl --socks5-hostname user:password@proxy.example.ru:1080 https://example.ru/

El parámetro -v mostrará cómo se establece la conexión: para HTTPS a través de un proxy HTTP en la salida se ve la solicitud CONNECT example.ru:443. Muchos programas en Linux usan proxys a partir de las variables de entorno http_proxy, https_proxy y no_proxy, pero esto es una convención, no una regla: algunas aplicaciones las ignoran y se configuran por separado.

Proxy y VPN

Proxy y VPN resuelven tareas similares, pero funcionan de forma distinta:

• proxy opera a nivel de aplicaciones individuales: solo pasa por él el tráfico de los programas que están configurados para usarlo;
• VPN crea una interfaz de red virtual, y por el túnel pasa todo el tráfico del sistema o de las redes indicadas, incluyendo programas que no saben nada del proxy;
• cifrado: la VPN cifra el tráfico entre el cliente y el servidor VPN; los proxies HTTP y SOCKS5 por sí mismos no cifran el canal hasta el proxy, por lo que la contraseña del proxy y el tráfico no cifrado se transmiten en claro.

Para el acceso de empleados a recursos internos de la empresa generalmente se usa VPN. Se elige un proxy cuando es necesario controlar la salida a Internet, publicar servicios o dirigir el tráfico de aplicaciones concretas a través de una dirección separada.

Cacheo hoy en día

Un proxy directo con cache era especialmente útil cuando la mayor parte de los sitios funcionaba por HTTP. Hoy casi todo el tráfico está cifrado, y sin descifrado un proxy directo no puede cachearlo. El cacheo es más útil en un proxy inverso: allí el tráfico está descifrado, y el propietario decide qué respuestas de la aplicación se pueden almacenar y por cuánto tiempo.

Qué solución elegir

A menudo se combinan soluciones: HAProxy recibe el tráfico y lo reparte entre varios servidores con Nginx, y Nginx sirve archivos estáticos y proxya solicitudes a la aplicación.

Limitaciones y seguridad

• Un proxy abierto es peligroso. Un proxy sin autenticación ni restricciones por direcciones es rápidamente detectado por escáneres y empieza a usarse para enviar spam y ataques en su nombre. El acceso a un proxy directo siempre se limita por lista de direcciones o por contraseña.
• El proxy es un único punto de fallo. Si por él pasa todo el tráfico, su fallo detiene todo. Para servicios críticos se despliegan dos proxys y se cambia la dirección entre ellos, por ejemplo con keepalived.
• El proxy ve el tráfico. Un administrador del proxy con descifrado TLS obtiene acceso a contraseñas y datos personales de los usuarios. Esos registros requieren la misma protección que los propios datos.
• El proxy no es un firewall. Oculta direcciones y filtra solicitudes a su nivel, pero no reemplaza las reglas de filtrado de paquetes en el servidor y el enrutador.