„Proxy“ bezeichnet eine Position, kein Produkt: etwas, das mitten in einer Verbindung sitzt und den Datenverkehr weiterreicht. Unser Glossareintrag dazu, was ein Proxy-Server ist, erklärt die Grundidee. Dieser Artikel geht eine Ebene tiefer und behandelt die beiden Formen, denen Sie am häufigsten begegnen: den Forward-Proxy und den Reverse-Proxy. Beide nutzen dieselbe Technik, arbeiten aber für entgegengesetzte Seiten der Verbindung.
Die Verwechslung ist verständlich. Beide nehmen eine Anfrage entgegen, beide leiten sie weiter, und beide verbergen etwas. Der Unterschied liegt darin, auf wessen Seite sie stehen. Ein Forward-Proxy handelt für den Client, und genau so funktionieren Residential Proxies. Ein Reverse-Proxy handelt für den Server, so wie Nginx oder ein CDN vor einer Website. Sobald Sie wissen, welcher Seite ein Proxy dient, ergibt sich der Rest.
Der Unterschied in jeweils einem Satz
- Ein Forward-Proxy steht vor den Clients. Der Client entscheidet sich, seinen Datenverkehr darüber zu leiten, und die Website sieht die IP-Adresse des Proxys statt der des Clients.
- Ein Reverse-Proxy steht vor den Servern. Clients verbinden sich mit ihm im Glauben, er sei die Website, und er entscheidet, welcher Backend-Server antwortet.
Ein Forward-Proxy verbirgt also den Client vor dem Server, und ein Reverse-Proxy verbirgt die Server vor dem Client.
So funktioniert ein Forward-Proxy
Ein Forward-Proxy wird auf der Client-Seite eingerichtet. Sie tragen seine Adresse in einem Browser, in den Einstellungen des Betriebssystems, in einem Skript oder in einem Scraping-Tool ein, und von da an gehen Ihre Anfragen zuerst an den Proxy.
- Ihr Client verbindet sich mit dem Proxy und authentifiziert sich bei den meisten kommerziellen Diensten mit Benutzername und Passwort.
- Bei einer HTTPS-Website bittet der Client den Proxy, einen Tunnel zum Ziel zu öffnen. Der Proxy baut die Verbindung nach außen auf und leitet die verschlüsselten Bytes weiter, ohne sie zu lesen.
- Das Ziel sieht die Verbindung von der IP-Adresse des Proxys kommen und wendet Standort, Reputation und Rate Limits auf diese Adresse an, nicht auf Ihre.
Unternehmen betreiben seit Jahrzehnten Forward-Proxys, um zu filtern und zu protokollieren, worauf Mitarbeitende im Web zugreifen. Auch der kommerzielle Proxy-Markt besteht aus Forward-Proxys: Ein Residential- oder ISP-Proxy-Dienst stellt Ihnen Exit-IP-Adressen an den Orten bereit, die Sie brauchen, und die Websites, die Sie besuchen, sehen diese Adressen. Viele Anbieter stellen ein einziges Gateway vor einen großen Pool und wählen bei jeder Anfrage den Exit für Sie aus; das ist das Backconnect-Modell. Manche suchen danach unter dem Begriff „reverse rotating proxy“, doch es bleibt ein Forward-Proxy: Er handelt für Sie, den Client.
So funktioniert ein Reverse-Proxy
Ein Reverse-Proxy wird auf der Server-Seite eingerichtet, und Clients wissen in der Regel nichts von ihm. Der DNS-Eintrag der Website zeigt auf den Reverse-Proxy, sodass sich jeder Besucher mit ihm verbindet.
- Der Browser des Besuchers verbindet sich mit dem, was er für die Website hält.
- Der Reverse-Proxy terminiert in der Regel TLS, liest die Anfrage und entscheidet, wohin sie gehen soll: zu welchem Backend-Server, zu welchem Dienst oder direkt aus seinem Cache.
- Er leitet die Anfrage an das gewählte Backend weiter und fügt dabei oft einen Header wie
X-Forwarded-Forhinzu, damit die Anwendung weiterhin die echte IP-Adresse des Besuchers kennt. - Er gibt die Antwort des Backends an den Besucher zurück, als hätte er sie selbst erzeugt.
Nginx, HAProxy, Envoy und Traefik sind verbreitete Reverse-Proxys, und CDNs sowie DDoS-Schutzdienste arbeiten nach demselben Prinzip im globalen Maßstab. Gründe für einen Reverse-Proxy sind Lastverteilung über mehrere Server, eine zentrale Stelle für die Verwaltung von TLS-Zertifikaten, Caching, Komprimierung und eine Schutzschicht, die Angriffe abfangen und schädlichen Datenverkehr blockieren kann, bevor er die Anwendung erreicht.
Im direkten Vergleich
| Forward-Proxy | Reverse-Proxy | |
|---|---|---|
| Handelt im Auftrag von | Dem Client | Dem Server |
| Wer richtet ihn ein | Der Nutzer oder sein Unternehmen | Der Betreiber der Website |
| Wer weiß von ihm | Der Client | Der Betreiber; Besucher meist nicht |
| Was die Gegenseite sieht | Die IP des Proxys statt der des Clients | Den Proxy statt der echten Server |
| Typische Software oder Dienste | Squid, Unternehmens-Gateways, Residential- und ISP-Proxy-Dienste | Nginx, HAProxy, Envoy, CDNs, Web Application Firewalls |
| Typische Aufgaben | Standorttests, Datenerhebung, Zugriffskontrolle, Privatsphäre gegenüber dem Ziel | Lastverteilung, TLS, Caching, Schutz vor Angriffen |
Eine dritte Form, der transparente Proxy, fängt Datenverkehr ab, ohne dass der Client etwas einrichtet, etwa im Netzwerk eines Hotels oder einer Schule. Er handelt für den Netzwerkbetreiber und nicht für Sie, und er ändert nichts an der oben beschriebenen Unterscheidung zwischen Forward und Reverse.
Wann Sie einen Forward-Proxy brauchen
Sie brauchen einen Forward-Proxy, wenn es darum geht, wie Ihr eigener ausgehender Datenverkehr für andere Websites aussieht:
- Sie müssen eine Website aus einem anderen Land oder einer anderen Stadt sehen. Preise, Suchergebnisse, Anzeigen und Inhalte ändern sich je nach Standort, und nur eine IP-Adresse an diesem Ort zeigt Ihnen die lokale Version.
- Sie erheben öffentliche Webdaten in großem Umfang. Wenn Sie Anfragen auf viele Residential-IP-Adressen verteilen, bleibt jede einzelne Adresse unter den Rate Limits, die Websites pro IP anwenden.
- Sie verwalten Konten, die an einem Standort bleiben sollen. Hier passt das Modell der ISP-Proxys: Jeder Proxy bleibt für den gesamten Abrechnungszeitraum in der Stadt und beim ISP Ihrer Wahl, während Sie denselben Benutzernamen behalten.
- Ihr Unternehmen kontrolliert ausgehende Zugriffe. Ein Forward-Proxy im Unternehmen setzt Richtlinien durch und protokolliert, was das Netzwerk verlässt.
Die Wahl des Protokolls ist eine andere Frage als die Wahl des Proxy-Typs; unser Leitfaden zu HTTP- vs. SOCKS5-Proxys behandelt sie.
Wann Sie einen Reverse-Proxy brauchen
Sie brauchen einen Reverse-Proxy, wenn es darum geht, wie eingehender Datenverkehr Ihre eigenen Server erreicht:
- Sie betreiben mehr als einen Backend-Server und müssen die Last verteilen und den Ausfall eines Servers verkraften.
- Sie möchten TLS, Weiterleitungen, Komprimierung und Caching an einer Stelle abwickeln.
- Sie möchten Schutz vor Lastspitzen und missbräuchlichen Bots, bevor Anfragen Ihre Anwendung erreichen.
- Sie möchten mehrere interne Dienste unter einer Domain bereitstellen, zum Beispiel
/apiund/app.
Wenn Sie nur eine Website betreiben, brauchen Sie einen Reverse-Proxy und keinen Forward-Proxy, und oft betreibt ihn Ihr Hosting-Anbieter oder CDN bereits für Sie.
Wann Sie beide brauchen
Viele Unternehmen betreiben beide, für unterschiedliche Richtungen des Datenverkehrs. Ein Team für Preisanalysen leitet zum Beispiel seine ausgehende Datenerhebung über Forward-Proxys in den beobachteten Märkten und stellt einen Reverse-Proxy vor das Dashboard und die API, die seine Kunden nutzen.
Die beiden treffen auch bei jeder Anfrage aufeinander, die Sie über einen Forward-Proxy senden. Die meisten großen Websites stehen hinter einem Reverse-Proxy oder CDN, der Besucher prüft, bevor die Anwendung sie zu sehen bekommt. Diese Edge-Schicht beurteilt Ihren Forward-Proxy: die Reputation und Art seiner IP-Adresse, wie viele Anfragen von ihr eintreffen und ob die Verbindung wie ein echter Browser aussieht. Deshalb ist die Exit-IP wichtiger als die Proxy-Software, und deshalb werden Anfragen aus Rechenzentrumsbereichen weit häufiger herausgefordert als Anfragen von privaten Anschlüssen.
FAQ
Ist ein VPN ein Forward-Proxy?
Es erfüllt eine ähnliche Rolle, da es für den Client handelt und dessen IP-Adresse vor Websites verbirgt. Ein VPN leitet in der Regel den gesamten Datenverkehr des Geräts auf Netzwerkebene um, während ein Forward-Proxy pro Anwendung oder pro Anfrage eingestellt wird.
Ist ein Load Balancer ein Reverse-Proxy?
Die meisten Load Balancer, die auf HTTP-Ebene arbeiten, sind Reverse-Proxys: Sie nehmen die Verbindung des Clients an und wählen ein Backend, an das sie sie weiterleiten. Manche Balancer arbeiten auf einer tieferen Ebene und leiten nur Pakete weiter, was sie zu einer anderen Art von Werkzeug macht.
Kann ein Server gleichzeitig als Forward- und als Reverse-Proxy arbeiten?
Ja. Software wie Nginx oder Squid lässt sich für beide Rollen konfigurieren, und manche Setups erfüllen beide. Die Rolle hängt von der Konfiguration ab und davon, wessen Datenverkehr der Proxy verarbeitet, nicht von der Software.
Sind Residential Proxies Forward- oder Reverse-Proxys?
Forward-Proxys. Sie richten sie in Ihrem Client ein, sie handeln in Ihrem Auftrag, und die Websites, die Sie besuchen, sehen die Residential-Exit-IP-Adresse statt Ihrer eigenen.
Das Fazit
Fragen Sie, auf wessen Seite der Proxy steht. Wenn er Sie gegenüber den Websites vertritt, die Sie besuchen, ist er ein Forward-Proxy, und entscheidend sind die IP-Adressen, die er Ihnen bereitstellt. Wenn er eine Website gegenüber ihren Besuchern vertritt, ist er ein Reverse-Proxy, und es geht um Last, Sicherheit und Geschwindigkeit. Die meisten Teams, die Daten aus dem Web erheben, brauchen den ersten, und die meisten Teams, die eine Website betreiben, haben den zweiten bereits. Die Forward-Proxys von Shifter können Sie unter shifter.io/order kostenlos testen, sodass Sie sie auf den für Sie relevanten Websites ausprobieren können, bevor Sie einen Tarif wählen.