Forward Proxy vs. Reverse ProxyDasselbe Relay, entgegengesetzte Enden

"Forward Proxy oder Reverse Proxy" wird diskutiert, als wäre es eine Wahl zwischen zwei Technologien. Das ist es nicht. Beide sind dasselbe: ein Relay, das eine Anfrage im Namen von jemand anderem stellt und die Antwort zurückleitet. Sie laufen auf derselben Software, da ein einziges nginx, HAProxy oder Envoy beides sein kann. Was sich unterscheidet, ist nicht die Maschine. Es ist, welches Ende der Verbindung das Relay vertritt und damit, wessen Identität es verbirgt.

Ein Forward Proxy vertritt den Client. Er sitzt bei den Personen, die Anfragen stellen, ist dem offenen Internet zugewandt und verbirgt, wer fragt. Ein Reverse Proxy vertritt den Server. Er sitzt vor dem Origin, ist der Öffentlichkeit zugewandt und verbirgt, wer antwortet. Dasselbe Relay, entgegengesetzte Enden.

Wer diese eine Unterscheidung versteht, bekommt jede Zeile der üblichen Vergleichstabelle kostenlos dazu: wer es konfiguriert, welche IP die andere Seite sieht, wo es sitzt, wofür es gut ist. Der Rest dieses Beitrags erläutert die beiden Rollen und dann die Fälle, in denen dieselbe Maschine beides gleichzeitig spielt.

Forward Proxy vs Reverse Proxy: die Kurzversion

Das ist die gesamte Unterscheidung in drei Zeilen. Jeder weitere Unterschied, wer es einsetzt und wo es sitzt, ergibt sich daraus, welches Ende das Relay vertritt.

Das Eine, das sich ändert: welche Seite der Proxy vertritt

Ein Proxy ist eine Indirektionsebene. Er leitet eine Anfrage weiter, damit die andere Seite den Proxy statt der dahinterliegenden Partei sieht. Jedes Relay hat zwei Enden, ein Client-Ende und ein Server-Ende, und welches Ende es der Außenwelt repräsentiert, ist seine Rolle.

Ein Forward Proxy wird von der Client-Seite eingesetzt. Ihr Traffic verlässt das Netzwerk über ihn, sodass das Internet die Adresse des Proxys statt Ihrer sieht. Er verbirgt den Client. Ein Reverse Proxy wird von der Server-Seite eingesetzt. Öffentlicher Traffic kommt zuerst bei ihm an, sodass Besucher eine veröffentlichte Adresse statt Ihrer echten Backends sehen. Er verbirgt den Server.

Die Software kümmert es nicht, welches davon sie gerade tut. Dasselbe nginx, das ausgehenden Traffic für ein Labornetzwerk proxyt, wird zum Reverse Proxy, sobald Sie es auf Ihr eigenes Backend zeigen und seine Adresse veröffentlichen. Die Richtung ist eine Deployment-Entscheidung, keine Produktkategorie.

Forward Proxy: der Stellvertreter des Clients

Ein Forward Proxy arbeitet im Auftrag der Personen dahinter. Sie konfigurieren ihn auf Ihren eigenen Geräten oder im Netzwerk, zeigen Ihren Client darauf, und von da an verlassen Ihre Anfragen das Netzwerk über den Proxy. Das Ziel hat keine Ahnung, wer sie ursprünglich gesendet hat; es sieht nur den Proxy. Das ist die Art von Proxy, die die meisten Menschen meinen, wenn sie "ein Proxy" sagen, und genau das gibt Ihnen ein Proxy- oder Scraping-Dienst an die Hand.

Wie ein Forward Proxy eine Anfrage weiterleitet

1. Ihr Client sendet die Anfrage an den Forward Proxy statt direkt an das Ziel.
2. Der Proxy ersetzt Ihre IP durch seine eigene und leitet die Anfrage an das Ziel weiter.
3. Das Ziel empfängt die Anfrage von der Adresse des Proxys und beantwortet sie.
4. Der Proxy leitet die Antwort an Sie zurück.

Wofür er gut ist

• Anonymität. Das Ziel sieht die IP des Proxys, nicht Ihre, was der eigentliche Zweck der Weiterleitung ist.
• Geo-Zugang. Durch eine IP in einem anderen Land ausgehen, um Inhalte zu erreichen, die nur für Besucher der jeweiligen Region gerendert werden.
• Egress-Kontrolle. Eine Organisation kann filtern, protokollieren oder blockieren, was ihre eigenen Nutzer auf dem Weg nach draußen erreichen.
• Web-Scraping im großen Maßstab. Anfragen über einen rotierenden Pool verteilen, damit keine einzelne IP überlastet oder markiert wird.

Dieser letzte Anwendungsfall ist der, in dem die meisten hier leben, und es ist der, bei dem die IP hinter dem Proxy anfängt, eine Rolle zu spielen. Ein Forward Proxy kann über eine Rechenzentrum-Adresse oder eine Residential-Adresse ausgehen, und diese Wahl entscheidet, ob ein geschütztes Ziel der Anfrage vertraut. Wir behandeln diesen Kompromiss in Rechenzentrum vs Residential Proxies und das Protokoll, das der Proxy spricht (HTTP oder SOCKS), in Was ist ein SOCKS5-Proxy. Wenn der Proxy als programmierbarer Endpunkt statt als Host und Port exponiert wird, wird er zu einem API-Proxy.

Reverse Proxy: die Eingangstür des Servers

Ein Reverse Proxy arbeitet im Auftrag der Server dahinter. Der Site-Betreiber setzt ihn ein, veröffentlicht seine Adresse als öffentlichen Endpunkt und hält die echten Backends privat. Besucher verbinden sich mit dem Reverse Proxy in dem Glauben, er sei der Server; er entscheidet, welches Backend jede Anfrage tatsächlich verarbeitet, und gibt die Antwort zurück, als hätte er sie selbst produziert. Reverse Proxies sind im großen Maßstab nahezu universell: die überwältigende Mehrheit stark frequentierter Sites sitzt hinter einem, ob selbst gehostet mit nginx, HAProxy oder Envoy, oder über ein CDN wie Cloudflare oder Fastly ausgeliefert.

Wie ein Reverse Proxy eine Anfrage weiterleitet

1. Der Besucher sendet eine Anfrage an die veröffentlichte Adresse des Reverse Proxys.
2. Der Proxy wählt ein gesundes Backend, oft durch Load Balancing über mehrere.
3. Das gewählte Backend verarbeitet die Anfrage, vom Besucher ungesehen.
4. Der Proxy gibt die Antwort zurück, sodass der Besucher immer nur mit der Eingangstür spricht.

Wofür er gut ist

• Load Balancing. Eingehenden Traffic über viele Backends verteilen und bei Ausfällen umrouten, damit die Site unter Last oben bleibt.
• Caching. Gespeicherte Kopien populärer Inhalte bereitstellen, ohne ein Backend zu berühren, was Latenz und Origin-Last reduziert.
• TLS-Terminierung. SSL/TLS einmal am Edge verarbeiten, statt auf jedem Backend.
• Origin-Schutz. Die echten Server verbergen und einen Ort hinzufügen, um Ratenbegrenzungen, eine WAF und Zugriffsregeln durchzusetzen, bevor Traffic sie jemals erreicht.

Forward vs Reverse Proxy auf einen Blick

Wo dieselbe Maschine beide Rollen spielt

Die Bezeichnungen Forward und Reverse beschreiben eine Rolle auf einer Verbindung, keinen dauerhaften Typ, der auf die Hardware gestempelt ist. Dieselbe Software, manchmal derselbe laufende Prozess, kann für eine Verbindung ein Forward Proxy und für eine andere ein Reverse Proxy sein.

Ein CDN-Edge ist das deutlichste Beispiel. Für Ihre Besucher ist er ein Reverse Proxy, der für Ihren Origin einspringt und gecachte Inhalte bereitstellt. Für Ihren Origin, wenn er eine frische Kopie abruft, sieht derselbe Edge wie ein Client aus, der über einen Forward-Hop ankommt. Ein Unternehmens-Gateway, das ausgehenden Mitarbeiter-Traffic filtert, ist ein Forward Proxy; das API-Gateway vor Ihren Microservices ist ein Reverse Proxy; ein Service-Mesh-Sidecar ist beides, dreht eingehende Aufrufe zu seinem Dienst um und leitet ausgehende Aufrufe dieses Dienstes weiter. An den Maschinen hat sich nichts geändert. Die Richtung der Verbindung hat sich geändert.

Hier passt auch ein Scraping-Stack hinein. Wenn Sie öffentliche Daten sammeln, wollen Sie einen Forward Proxy, der Sie gegenüber dem Ziel vertritt und die Teile absorbiert, die Anfragen blockieren lassen: die Exit-IP rotieren, Wiederholungsversuche durchführen und Anti-Bot handhaben. Das selbst zu betreiben bedeutet, IP-Pools und Routing-Logik zu warten; ein verwalteter Forward Proxy fasst das in einen einzigen Endpunkt zusammen.

Wie man weiß, welches man braucht

Stellen Sie eine Frage: Schützen Sie die Seite, die fragt, oder die Seite, die antwortet?

Wenn Sie eine Site oder eine API betreiben, wollen Sie einen Reverse Proxy vor Ihrem Origin, sei es nginx oder Caddy, das Sie selbst betreiben, oder ein CDN, das eines für Sie verwaltet. Er gibt Ihnen Load Balancing, Caching, TLS und einen einzigen Ort, um Sicherheit durchzusetzen, bevor Traffic Ihren Code erreicht.

# Reverse proxy: one public address,
# real backends kept private behind it.
server {
    listen 443 ssl;
    server_name example.com;
    location / {
        proxy_pass http://10.0.0.5:8080;
    }
}

Wenn Sie das Web zugreifen, für Anonymität, geo-spezifische Daten oder Scraping im großen Maßstab, wollen Sie einen Forward Proxy, durch den Ihr Client nach außen zeigt. Das Ziel sieht den Proxy, und ein guter verwaltet die Exit-IPs für Sie.

# Forward proxy: your client exits through it,
# so the target sees the proxy IP, not yours.
curl -x "http://_USER_TOKEN_:@smartproxy.crawlbase.com:8012" \
     -k "https://example.com/"

Wenn Sie beides betreiben, ist das normal und richtig: Ihre App sitzt hinter einem Reverse Proxy, und sie erreicht Drittanbieter-Daten über einen Forward Proxy. Sie sind keine Konkurrenten. Sie sind entgegengesetzte Enden verschiedener Verbindungen. Speziell für die Scraping-Seite sehen Sie, wie ein gepoolter Endpunkt im Vergleich abschneidet, in Backconnect Proxy vs der Crawling API, und wenn Sie noch Ausgänge in der engeren Auswahl haben, halten wir in beste Proxy-Anbieter eine aktuelle Übersicht bereit.

Häufig gestellte Fragen

Ist ein Reverse Proxy sicherer als ein Forward Proxy?

Sie schützen verschiedene Seiten, daher ist keiner "sicherer" in abstracto. Ein Reverse Proxy härtet den Server: er verbirgt Origins, terminiert TLS und gibt Ihnen einen einzigen Ort für eine WAF und Ratenbegrenzung. Ein Forward Proxy härtet den Client: er verbirgt, wer fragt, und kann filtern, was Nutzer erreichen. Wählen Sie danach, welche Seite Sie verteidigen müssen.

Ist ein Reverse Proxy dasselbe wie ein VPN?

Nein. Ein Reverse Proxy arbeitet auf der Anwendungsschicht und leitet spezifische Anfragen an Backend-Server weiter. Ein VPN arbeitet tiefer und baut einen verschlüsselten Tunnel, der den gesamten Traffic eines Geräts in ein privates Netzwerk trägt. Ein Reverse Proxy stellt Server voran; ein VPN verbindet Clients mit einem Netzwerk.

Ist ein CDN ein Reverse Proxy?

Ja. Ein CDN ist ein global verteilter Reverse Proxy vor Ihrem Origin. Jeder Edge-Knoten cached und liefert Ihre Inhalte, terminiert TLS und schützt die echten Server, was genau die Reverse-Proxy-Rolle in großem Maßstab betrieben ist.

Kann derselbe Server sowohl Forward als auch Reverse Proxy sein?

Ja, weil die Rolle pro Verbindung gilt. Ein CDN-Edge dreht Traffic gegenüber Ihren Besuchern um und sieht gegenüber Ihrem Origin wie ein weiterleitender Client aus; ein Service-Mesh-Sidecar dreht eingehende Aufrufe um und leitet ausgehende weiter. Derselbe Prozess spielt beide Rollen je nach Richtung.

Brauche ich einen Forward oder Reverse Proxy für Web-Scraping?

Einen Forward Proxy. Scraping ist ein Zugriffsproblem: Sie sind der Client, und Sie wollen, dass das Ziel die IP des Proxys statt Ihrer sieht. Ein Reverse Proxy stellt Server vor, die Sie besitzen, sodass er beim Erreichen der Site von jemand anderem nichts bewirkt.

Ist ein Load Balancer ein Reverse Proxy?

Load Balancing ist eine der Aufgaben, die ein Reverse Proxy erledigt. Ein dedizierter Load Balancer kann tiefer im Stack auf der Transportschicht operieren, aber ein Application-Layer-Load-Balancer ist funktional ein Reverse Proxy, der sich darauf konzentriert, Traffic auf Backends zu verteilen.

SR

Syeda Roushan Arshid

Content-Autorin · Crawlbase

Content-Autorin, die im Crawlbase-Blog über Proxys, Cloud-Speicher und Datensicherheit schrieb und Themen rund um Infrastruktur und Datenschutz für ein breites Entwicklerpublikum zugänglich machte.