Der sichere Betrieb von Web- oder Exchange-Servern stellt Netzwerkadministratoren vor ein Problem: Zwar sollen Onlinedienste wie das Web oder E-Mail über das öffentliche Netzwerk verfügbar sein; eine direkte Anbindung an das Internet macht die Systeme jedoch anfällig für Malware und manuelle Einbrüche. Oft kommt daher eine vermittelnde Netzwerkkomponente zum Einsatz – ein sogenannter Reverse-Proxy.
Grundsätzlich handelt es sich bei einem Proxy-Server um eine Kommunikationsschnittstelle im Netzwerk, die Anfragen entgegennimmt und stellvertretend an einen Zielrechner weiterleitet. In Unternehmensnetzen kommt ein solcher Aufbau zum Einsatz, um Client-Geräten einen kontrollierbaren Zugang zum Internet zu gewähren. Der als Proxy konfigurierte Server stellt in diesem Fall die einzige Verbindung ins öffentliche Netz dar. Man spricht von einem Forward-Proxy.
Ein Forward-Proxy kanalisiert alle Anfragen aus dem internen Netzwerk und leitet diese mit der eigenen Absenderadresse an die Zielserver im Internet weiter. Auch Serverantworten erreichen zuerst den Proxy, bevor sie an die entsprechenden Client-Geräte verteilt werden. Diese bleiben somit anonym – es sei denn, es handelt sich um einen transparenten Proxy. Um Bandbreite zu sparen und den Webseitenabruf zu beschleunigen, werden Proxy-Server in der Regel so programmiert, dass sie häufig angefragte Inhalte im Cache zwischenspeichern und somit ohne erneute Serveranfrage direkt ausspielen können.
Während ein Forward-Proxy Client-Geräte in einem Netzwerk vor Einflüssen aus dem Internet schützt, arbeitet ein Reverse-Proxy dem Namen entsprechend in umgekehrter Richtung. Ein solcher Proxy-Server wird als zusätzliche Sicherheitskomponente vor einen oder mehrere Webserver geschaltet, um Anfragen aus dem Internet stellvertretend entgegenzunehmen und an einen Backend-Server im Hintergrund weiterzuleiten.
Als dem Netzwerk vorgeschaltete Kommunikationsschnittstelle kann ein Reverse-Proxy verschiedene Funktionen übernehmen, die der Sicherheit der Backend-Server dienen und den Datenverkehr optimieren.
Ein Reverse Proxy ("umgekehrter Proxy") ist eine zusätzliche Schutzmaßnahme, die vor einen oder mehreren Webservern geschaltet werden kann.
Im Gegensatz zu einem Proxy wird die Adressumsetzung in der entgegengesetzten Richtung durchgeführt.
Die Aufgabe des Reverse Proxys ist es Anfragen von Servern stellvertretend anzunehmen und an den entsprechenden Client weiterzuleiten.
Dabei gewährt der Reverse Proxy einem oder mehreren Clients eines externen Netzes den Zugriff auf ein internes Netz.
Reverse-Proxys werden in der Regel von einer Firewall abgesichert in einem privaten Netzwerk oder einer vorgelagerten demilitarisierten Zone (DMZ) installiert. Dabei stellt der Reverse-Proxy ähnlich wie der Forward-Proxy die einzige Verbindung zwischen Internet und privaten Netzwerk dar. Alle Anfragen an die Backend-Server im LAN durchlaufen somit dieselbe Kommunikationsschnittstelle, bevor sie an die eigentlichen Zielsysteme weitergeleitet werden. Eine solche Bündelung ermöglicht es, den eingehenden Datenverkehr zu kontrollieren, mehrere Server unter derselben URL zur Verfügung zu stellen, Anfragen gleichmäßig auf verschiedene Server zu verteilen und den Datenabruf durch Caching zu beschleunigen. Für den Einsatz eines Reverse-Proxy-Servers ergeben sich somit folgende Anwendungsgebiete:
Um einen Reverse-Proxy einzurichten, bietet sich der Apache HTTP Server an. Der weltweit beliebteste Webserver verfügt über diverse Erweiterungsmodule für verschiedene Proxy-Funktionen und lässt sich schon mit wenigen Codezeilen entsprechend konfigurieren. Die folgende Schritt-für-Schritt-Anleitung zeigt, wie man eine Apache-Installation auf dem Betriebssystem Ubuntu um das benötigte Modul erweitert und eine Konfigurationsdatei für die Weiterleitung erstellt.
Der quelloffene Apache HTTP Server wird von der Apache Software Fundation kostenlos zur Verfügung gestellt. Eine Einführung in die Webserver-Software finden Sie in unserem Ratgeber.
Um einen Apache HTTP Sever als Reverse-Proxy nutzen zu können, benötigen Sie das Modulmod_proxy. Dieses implementiert die Kernfunktionalitäten und lässt sich um diverse Zusatzmodule erweitern:
Um das Modul mod_proxy inklusive aller Zusatzmodule zu installieren, ist lediglich folgende Kommandozeile erforderlich:
sudo apt-get install libapache2-mod-proxy-htmlDieses Tutorial konzentriert sich auf die Grundfunktionen des Apache-Moduls mod_proxy. Eine detaillierte Beschreibung der Zusatzmodule inklusive aller benötigten Direktiven findet sich in der offiziellen Dokumentation des Apache-Projekts.
Um einzelne Module der Apache-Proxy-Funktion zu aktivieren, kommt der Befehl a2enmod zum Einsatz. Bereits aktivierte Module lassen sich durch a2dismod deaktivieren. Um einen einfachen Reverse-Proxy für einen nachgelagerten Webserver zu erstellen, genügt es, die Module mod_proxy und mod_proxy_http zu laden:
sudo a2enmod proxy
sudo a2enmod proxy_httpNachdem die Module aktiviert wurden, muss der Apache HTTP Server neu gestartet werden:
sudo apache2 reloadDamit der Reverse-Proxy Anfragen aus dem Internet entgegennehmen und an den richtigen Server im lokalen Netz weiterleiten kann, ist es nötig, die Konfigurationsdatei000-default.conf im Verzeichnis /etc/apache2/sites-enabled zu deaktivieren und durch eine Virtual-Host-Datei wie beispiel.conf zu ersetzen. Dabei empfiehlt es sich, für jeden Zielserver mit eigener IP eine separate Virtual-Host-Datei nach folgendem Schema anzulegen:
<VirtualHost *:80>
ServerName domain.tld
ServerAlias www.domain.tld
ProxyRequests Off
ProxyPass / http://123.456.7.89/
ProxyPassReverse / http://123.456.7.89/
</VirtualHost> Anweisungen zur Proxy-Funktion werden innerhalb der Direktive <VirtualHost> definiert. Das Start-Tag beinhaltet zudem die IP-Adresse inklusive Portnummer, an der der als Reverse-Proxy konfigurierte Apache auf Anfragen lauschen soll. Sollen dabei alle IP-Adressen einbezogen werden, kommt wie im Beispiel der Platzhalter * zum Einsatz. Angaben innerhalb des VirtualHost-Tags werden ebenfalls in Form von Direktiven angegeben. Anders als das VirtualHost-Tag weisen diese Argumente auf, die definieren, wie eingehende Anfragen und Antwortpakete zu bearbeiten sind. Essenziell sind dabei vor allem die Direktiven ServerName, ProxyPass und ReversePass.
Darüber hinaus finden sich im Beispiel zwei weitere Direktiven: ServerAlias und ProxyRequests. Diese stellen keine Basisfunktionen für den Proxy-Server zur Verfügung und sind daher fakultativ.
Wurden die Regeln für die Proxy-Funktion definiert, muss die Konfiguration über das Terminal aktiviert werden:
sudo a2ensite beispiel.confDer Apache HTTP Server nimmt nun alle Anfragen an domain.tld oder www.domain.tld entgegen und leitet diese in Form von Proxy-Requests an einen Backend-Server mit der IP 123.456.7.89weiter.
Bei einem Proxy-Server handelt es sich um eine Netzwerkkomponente, die eine Schnittstelle zwischen einem privaten Netzwerk und dem Internet bildet. Als Bindeglied zwischen zwei Systemen ermöglicht es ein Proxy, durch Filterregeln Einfluss auf den Datenverkehr zu nehmen, Paketdaten zwischenzuspeichern und die Identität der Kommunikationsteilnehmer hinter der eigenen IP zu verbergen.
Auch 15 Jahre nach ihrer Entdeckung ist die Sicherheitslücke HTTPoxy in Zusammenhang mit CGI-Anwendungen immer noch ein Thema. Die Ursache dafür liegt in der Tatsache, dass der Common-Gateway-Interface-Standard die Verwendung von Umgebungsvariablen vorsieht, um HTTP-Requests zu verarbeiten. In diesen können unter anderem Header-Inhalte untergebracht werden, die die ursprüngliche...
Beim Ausfüllen eines Onlineformulars, beim Klick in den Warenkorb oder beim Kommentieren auf einem Blog – Nutzer kommen im Netz täglich mit Common Gateway Interfaces in Kontakt. Mit der Technologie lassen sich dynamische Funktionen umsetzen, während Server-Ressourcen geschont werden. Wie funktionert CGI, welche Vor- und Nachteile hat es und welche Alternativen stehen Entwicklern zur Verfügung?
