Proxy, czyli pośrednik, który chodzi po zakupy za ciebie
Na osiedlu Spokojna Sieć otwarto Biuro Pośrednictwa „Załatwimy Za Pana”. Przed wejściem wisiał szyld: „Nie chodź sam, wyślij nas!”. Kierownik zapewniał, że załatwi zakupy, odbierze przesyłki i porozmawia ze sprzedawcami. Grzesiu spojrzał na cennik i zapytał, czy pośrednik potrafi również za niego tłumaczyć informatykowi, dlaczego drukarka nie drukuje. Kierownik zbladł. 🤣
Niech ktoś pójdzie za mnie
— Potrzebuję katalogu ze sklepu po drugiej stronie miasta — powiedział Grzesiu.
— Proszę zgłosić zamówienie u mnie — zaproponował pośrednik, pan Proxy.
— A nie mogę sam?
— Może pan. Ale jeśli korzysta pan z naszego biura, to ja kontaktuję się ze sklepem i przynoszę odpowiedź.
— Czy sklep wie, że kupuję ja?
— Widzi przede wszystkim, że kontaktuje się ze mną. Pozostałe informacje zależą od sposobu obsługi zamówienia.
To jest pomysł na forward proxy: pośrednik stoi po stronie klienta. Przeglądarka lub inny program kieruje do niego żądanie, a on — zgodnie z konfiguracją — przekazuje je do docelowego serwera i dostarcza odpowiedź. Może przy tym kontrolować dostęp albo rejestrować ruch.
— Czyli jest pan dodatkowym przystankiem?
— Tak, ale takim, który czasem robi coś pożytecznego.
— A czasem?
— A czasem podpisuje się na każdym formularzu trzy razy.
Firmowe biuro zakupów
Następnego dnia do biura wpadł szef firmy Johnson.
— Od dzisiaj pracownicy zamawiają materiały wyłącznie przez dział zakupów!
— Nawet spinacze? — spytał Grzesiu.
— Zwłaszcza spinacze. Ostatnio ktoś zamówił złote.
Forward proxy bywa wykorzystywane w firmach do egzekwowania zasad dostępu, uwierzytelniania użytkowników lub prowadzenia dzienników połączeń. Niektóre rozwiązania potrafią blokować wybrane kierunki czy kategorie witryn. To jednak zależy od konfiguracji — sam fakt korzystania z proxy nie oznacza, że wszystko jest filtrowane.
— A jeśli program nie wie, że ma korzystać z pośrednika?
— Może łączyć się bezpośrednio, jeśli sieć na to pozwala.
— Czyli do działania potrzebne są ustawienia i reguły?
— Oczywiście.
— W takim razie znam jednego pracownika, który spróbuje ominąć dział zakupów.
— Którego?
— Tego od złotych spinaczy.
A teraz pośrednik stoi przed firmą
Po drugiej stronie ulicy działała firma „Trzy Kuchnie i Jeden Szyld”. Klienci przychodzili z zamówieniami, ale nie wiedzieli, do którego z trzech kucharzy się zgłosić.
— JA CHCĘ ZUPĘ! — krzyknął pierwszy.
— A JA FAKTURĘ! — zawołał drugi.
— A JA CHCĘ POROZMAWIAĆ Z KIEROWNIKIEM!
Przy wejściu stanął drugi pan Proxy, tym razem w roli recepcjonisty.
— Spokojnie. Wszystkich obsługujemy pod jednym adresem. Ja zdecyduję, do której kuchni przekazać zamówienie.
To reverse proxy. Stoi przed serwerami i przyjmuje żądania klientów, a następnie kieruje je do odpowiednich usług po stronie zaplecza. Klient łączy się z publicznym wejściem, nie musi znać każdego wewnętrznego serwera.
— Czyli poprzedni Proxy pracował dla kupującego, a ten dla sprzedawcy?
— Właśnie.
— Obaj nazywają się Proxy?
— Tak.
— To jak ich odróżnić?
— Po tym, po której stronie lady stoją.
Jeden adres, trzy kuchnie i awaria piekarnika
Recepcjonista dostał cztery zamówienia na zupę, pięć na pizzę i jedno z dopiskiem „proszę niczego nie zepsuć”.
— Zupy do kuchni pierwszej, pizza do drugiej, a stronę z rachunkami obsłuży dział trzeci.
— A jeśli drugi piec się zepsuje? — spytał Grzesiu.
— Jeśli mamy inne zdrowe stanowisko do tej samej pracy, możemy przekazać zamówienie tam.
Reverse proxy może kierować ruch według nazwy domeny, ścieżki URL lub innych reguł. Potrafi też równoważyć obciążenie między kilkoma serwerami i sprawdzać ich dostępność. Nie wyczaruje jednak dodatkowego kucharza, jeżeli wszystkie kuchnie są zamknięte.
W praktyce takie funkcje pełnią na przykład Nginx, HAProxy czy odpowiednio skonfigurowany Apache. Jeden produkt może pełnić kilka ról — nie trzeba stawiać osobnej budki dla każdej nazwy.
— Czyli jak wszystkie piece padną, nie dostanę pizzy?
— Nie dostanie pan nawet serwetki.
— To może lepiej nie pytać o rachunek.
HTTPS, czyli zapieczętowana koperta
Grzesiu przyniósł pośrednikowi zaklejoną kopertę.
— Proszę dostarczyć do sklepu. I nie czytać!
— W porządku — odpowiedział pan Proxy. — Ale musimy ustalić, co dokładnie wolno mi zrobić.
Przy zwykłym proxy dla połączeń HTTPS często używa się metody CONNECT, która pozwala utworzyć tunel do wskazanego serwera. Pośrednik przekazuje zaszyfrowany ruch, ale bez dodatkowej inspekcji TLS nie widzi całej treści żądań i odpowiedzi.
— Czyli może pan zobaczyć, dokąd idę, ale niekoniecznie, co zamawiam?
— W wielu konfiguracjach właśnie tak. Nie oznacza to jednak pełnej anonimowości.
Z kolei reverse proxy może kończyć połączenie TLS, odszyfrowywać żądanie i przekazywać je dalej — czasami ponownie szyfrując połączenie do serwera zaplecza. Wtedy jest uprawnionym odbiorcą przesyłki, a nie tylko listonoszem z zamkniętą kopertą.
— Czy to nie łamanie pieczęci?
— Jeśli to recepcja właściwej firmy, jest częścią obsługi zamówienia. Ważne, kto i na jakich zasadach otrzymuje dostęp.
— Czyli kłódka nie odpowiada na wszystkie pytania?
— Żadna kłódka nigdy nie odpowiadała. To tylko metal.
Proxy nie jest VPN-em, nawet w ładnym garniturze
Do biura wszedł kierowca ciężarówki z napisem VPN.
— Dzień dobry. Słyszałem, że też przewozi pan cudze rzeczy.
— Owszem — odparł Proxy. — Ale nie robimy tego w ten sam sposób.
Proxy pośredniczy w określonych połączeniach lub protokołach. VPN tworzy tunel sieciowy i może przenosić przez niego ruch wielu aplikacji, zależnie od konfiguracji i tras. Obie technologie mają różne zastosowania i żadna automatycznie nie zapewnia anonimowości ani bezpieczeństwa w każdych warunkach.
— Czyli proxy to pracownik, który załatwia konkretne sprawy, a VPN to ciężarówka, którą można puścić całą trasą?
— To dobre uproszczenie.
— A mogę wsadzić pracownika do ciężarówki?
— Można łączyć rozwiązania.
— To ja potrzebuję jeszcze kierownika transportu.
— Nie, panie Grzesiu. Tego naprawdę nie potrzebujemy.
A skąd ta gazeta pod ladą?
Grzesiu zauważył w biurze znajomy stos gazet.
— Oho! Znów wczorajsze wydanie?!
— Nie każda gazeta jest wczorajsza — zaprotestował Proxy. — Niektóre kopie mogę zachować dla kolejnych klientów, jeśli pozwalają na to reguły.
Niektóre serwery proxy mogą przechowywać odpowiedzi w pamięci podręcznej, by nie pobierać ich wielokrotnie. To cache po stronie pośrednika, a nie pamięć podręczna w przeglądarce Grzesia. Obowiązują tutaj zasady przechowywania odpowiedzi i ograniczenia dotyczące treści prywatnych czy szyfrowanych.
— To ten sam schowek co w hotelu?
— Nie. Tam gazeta leżała przy pańskim stoliku. Tu może być kopia wspólna dla wielu klientów, o ile wolno nam ją tak wykorzystać.
— Czyli dwa schowki?
— Dwa różne miejsca.
— A rachunek za przechowywanie?
— Ten akurat wystawiamy osobno.
Raport pośrednika
Wieczorem oba biura Proxy spotkały się na wspólnej naradzie.
— Ja odbieram zlecenia od klientów i załatwiam sprawy w ich imieniu — przedstawił się forward proxy.
— A ja stoję przed serwerami i kieruję zamówienia do właściwego zaplecza — odpowiedział reverse proxy.
— I obaj możemy pilnować zasad?
— Jeśli dobrze nas skonfigurują.
— A możemy zrobić kawę?
— Nie jesteśmy od kawy.
Proxy to pośrednik w komunikacji. Forward proxy reprezentuje klienta wobec serwerów, reverse proxy reprezentuje wejście do usług po stronie serwerów. Może pomagać w kontroli dostępu, kierowaniu żądań, równoważeniu obciążenia lub cache — ale konkretne funkcje zależą od rodzaju i konfiguracji.
Grzesiu podszedł do lady.
— To kto załatwi mi nowe spinacze?
Obaj pośrednicy wskazali na siebie nawzajem.
— Zaczyna się — westchnął kierownik.
Dyrekcja Biura Pośrednictwa „Załatwimy Za Pana” informuje: wszystkie zamówienia przekazano zgodnie z procedurą. Forward proxy odesłał klienta do reverse proxy, reverse proxy przekazał sprawę do zaplecza, a zaplecze poprosiło o numer zgłoszenia. Grzesiu wreszcie dostał spinacze. Złote. Na fakturze widniała pozycja „opłata za pośrednictwo w pośrednictwie”. 🛒📨🤣❤️