«Proxy» describe una posición, no un producto: algo que se sitúa en medio de una conexión y deja pasar el tráfico. La entrada de nuestro glosario sobre qué es un servidor proxy explica la idea básica. Este artículo profundiza un nivel más en las dos formas que te encontrarás con más frecuencia, el proxy directo (forward proxy) y el proxy inverso (reverse proxy), que usan la misma mecánica pero trabajan para lados opuestos de la conexión.
La confusión es comprensible. Ambos reciben una solicitud, ambos la reenvían y ambos ocultan algo. La diferencia está en a qué lado sirven. Un proxy directo actúa en nombre del cliente, que es como funcionan los proxies residenciales. Un proxy inverso actúa en nombre del servidor, que es lo que hace Nginx o una CDN delante de un sitio web. En cuanto sabes a qué lado sirve un proxy, todo lo demás encaja.
La diferencia, en una frase cada uno
- Un proxy directo se sitúa delante de los clientes. El cliente decide enviar su tráfico a través de él, y el sitio web ve la dirección IP del proxy en lugar de la del cliente.
- Un proxy inverso se sitúa delante de los servidores. Los clientes se conectan a él creyendo que es el sitio web, y él decide qué servidor de backend responde.
Así, un proxy directo oculta el cliente al servidor, y un proxy inverso oculta los servidores al cliente.
Cómo funciona un proxy directo
Un proxy directo se configura en el lado del cliente. Introduces su dirección en un navegador, en un ajuste del sistema operativo, en un script o en una herramienta de scraping y, a partir de ese momento, tus solicitudes pasan primero por el proxy.
- Tu cliente se conecta al proxy y, en la mayoría de los servicios comerciales, se autentica con un nombre de usuario y una contraseña.
- En un sitio HTTPS, el cliente pide al proxy que abra un túnel hasta el destino. El proxy establece la conexión saliente y retransmite los bytes cifrados sin leerlos.
- El destino ve que la conexión llega desde la dirección IP del proxy, así que aplica su ubicación, su reputación y sus límites de frecuencia a esa dirección, no a la tuya.
Las empresas llevan décadas usando proxies directos para filtrar y registrar a qué accede su plantilla en la web. El mercado comercial de proxies también está formado por proxies directos: un servicio de proxies residenciales o ISP te da direcciones IP de salida en los lugares que necesitas, y los sitios web que visitas ven esas direcciones. Muchos proveedores colocan una única pasarela delante de un gran grupo de direcciones y eligen por ti la salida en cada solicitud, que es el modelo backconnect. A veces se busca como «proxy inverso rotativo», pero sigue siendo un proxy directo: actúa en tu nombre, en el del cliente.
Cómo funciona un proxy inverso
Un proxy inverso se configura en el lado del servidor, y normalmente los clientes ni siquiera saben que existe. El registro DNS del sitio web apunta al proxy inverso, de modo que todos los visitantes se conectan a él.
- El navegador del visitante se conecta a lo que cree que es el sitio web.
- El proxy inverso suele terminar la conexión TLS, lee la solicitud y decide adónde debe ir: a qué servidor de backend, a qué servicio o si se sirve directamente desde su caché.
- Reenvía la solicitud al backend elegido, a menudo añadiendo una cabecera como
X-Forwarded-Forpara que la aplicación siga conociendo la dirección IP real del visitante. - Devuelve la respuesta del backend al visitante como si la hubiera generado él mismo.
Nginx, HAProxy, Envoy y Traefik son proxies inversos habituales, y las CDN y los servicios de protección contra DDoS funcionan del mismo modo a escala global. Los motivos para usar uno son el balanceo de carga entre servidores, un único punto para gestionar los certificados TLS, la caché, la compresión y una capa de protección capaz de absorber ataques y bloquear el tráfico malicioso antes de que llegue a la aplicación.
Comparación directa
| Proxy directo | Proxy inverso | |
|---|---|---|
| Actúa en nombre de | El cliente | El servidor |
| Quién lo configura | El usuario o su empresa | El operador del sitio web |
| Quién sabe que existe | El cliente | El operador; los visitantes normalmente no |
| Qué ve el otro lado | La IP del proxy en lugar de la del cliente | El proxy en lugar de los servidores reales |
| Software o servicio típico | Squid, pasarelas corporativas, servicios de proxies residenciales e ISP | Nginx, HAProxy, Envoy, CDN, cortafuegos de aplicaciones web |
| Usos típicos | Pruebas por ubicación, recopilación de datos, control de acceso, privacidad frente al destino | Balanceo de carga, TLS, caché, protección contra ataques |
Un tercer tipo, el proxy transparente, intercepta el tráfico sin que el cliente configure nada, por ejemplo en la red de un hotel o de un centro educativo. Actúa en nombre del operador de la red y no en el tuyo, y no altera el esquema de proxy directo e inverso descrito arriba.
Cuándo necesitas un proxy directo
Necesitas un proxy directo cuando la cuestión es cómo ven otros sitios web tu propio tráfico saliente:
- Necesitas ver un sitio desde otro país o ciudad. Los precios, los resultados de búsqueda, los anuncios y el contenido cambian según la ubicación, y solo una dirección IP de ese lugar te muestra la versión local.
- Recopilas datos web públicos a gran escala. Repartir las solicitudes entre muchas direcciones IP residenciales mantiene cada dirección por debajo de los límites de frecuencia que los sitios aplican por IP.
- Gestionas cuentas que deben mantener una misma ubicación. Aquí encaja el modelo de los proxies ISP: cada proxy se mantiene en la ciudad y en el ISP que elijas durante todo el periodo de facturación, y tú conservas el mismo nombre de usuario.
- Tu empresa controla el acceso saliente. Un proxy directo corporativo aplica las políticas y registra lo que sale de la red.
Elegir protocolo es una cuestión distinta de elegir tipo de proxy; nuestra guía sobre proxies HTTP vs. SOCKS5 lo explica.
Cuándo necesitas un proxy inverso
Necesitas un proxy inverso cuando la cuestión es cómo llega el tráfico entrante a tus propios servidores:
- Tienes más de un servidor de backend y necesitas repartir la carga y seguir funcionando si uno cae.
- Quieres un único punto para gestionar TLS, redirecciones, compresión y caché.
- Quieres protección frente a avalanchas de tráfico y bots abusivos antes de que las solicitudes lleguen a tu aplicación.
- Quieres exponer varios servicios internos bajo un mismo dominio, por ejemplo
/apiy/app.
Si solo gestionas un sitio web, necesitas un proxy inverso, no un proxy directo, y a menudo tu proveedor de alojamiento o tu CDN ya lo gestiona por ti.
Cuándo necesitas ambos
Muchas empresas usan los dos, para distintas direcciones del tráfico. Un equipo de inteligencia de precios, por ejemplo, envía su recopilación saliente a través de proxies directos en los mercados que vigila y coloca un proxy inverso delante del panel y la API que usan sus clientes.
Además, ambos se encuentran en cada solicitud que envías a través de un proxy directo. La mayoría de los grandes sitios web están detrás de un proxy inverso o una CDN que inspecciona a los visitantes antes de que la aplicación los vea. Esa capa perimetral es la que juzga tu proxy directo: la reputación y el tipo de su dirección IP, cuántas solicitudes llegan desde ella y si la conexión parece la de un navegador real. Por eso la IP de salida importa más que el software del proxy, y por eso las solicitudes procedentes de rangos de centros de datos se ponen a prueba con mucha más frecuencia que las que llegan desde conexiones domésticas.
Preguntas frecuentes
¿Una VPN es un proxy directo?
Cumple una función parecida, porque actúa en nombre del cliente y oculta su dirección IP a los sitios web. Una VPN suele transportar todo el tráfico del dispositivo a nivel de red, mientras que un proxy directo se configura por aplicación o por solicitud.
¿Un balanceador de carga es un proxy inverso?
La mayoría de los balanceadores de carga que trabajan a nivel HTTP son proxies inversos: aceptan la conexión del cliente y eligen el backend al que reenviarla. Algunos balanceadores trabajan a un nivel inferior y solo enrutan paquetes, lo que los convierte en otro tipo de herramienta.
¿Puede un mismo servidor actuar como proxy directo y como proxy inverso?
Sí. Software como Nginx o Squid puede configurarse de una u otra forma, y algunas configuraciones hacen ambas cosas. El papel depende de la configuración y de qué tráfico gestiona el proxy, no del software.
¿Los proxies residenciales son proxies directos o inversos?
Directos. Los configuras en tu cliente, actúan en tu nombre y los sitios web que visitas ven la dirección IP residencial de salida en lugar de la tuya.
En resumen
Pregúntate a qué lado sirve el proxy. Si te representa ante los sitios web que visitas, es un proxy directo, y lo que importa son las direcciones IP que te proporciona. Si representa a un sitio web ante sus visitantes, es un proxy inverso, y su función tiene que ver con la carga, la seguridad y la velocidad. La mayoría de los equipos que recopilan datos de la web necesitan el primero, y la mayoría de los equipos que gestionan un sitio web ya tienen el segundo. Los proxies directos de Shifter incluyen una prueba gratuita en shifter.io/order, para que puedas probarlos en los sitios que te interesan antes de elegir un plan.