プロキシサーバー

オープンプロキシとは、インターネットユーザーなら誰でもアクセスできる転送プロキシサーバーのことです。2008年、ネットワークセキュリティ専門家のゴードン・ライオンは、インターネット上で「数十万」ものオープンプロキシが運用されていると推定しました。^{[ 4 ]}

• 匿名プロキシ：このサーバーはプロキシサーバーとしての身元を明らかにしますが、クライアントの発信元IPアドレスは公開しません。プロキシサーバーであることが容易に判明するにもかかわらず、発信元IPアドレスを隠せるため、一部のユーザーにとっては有益です。
• 転送ヘッダー: 一部のプロキシは、リクエストが転送される際に失われるクライアントまたはプロキシ情報を開示するために、HTTP ヘッダーを追加します。従来、これは などの非標準フィールドを使用して行われることが多かったのですがX-Forwarded-For、標準化されたForwardedフィールドは同様の情報に対して定義済みの構文を提供します。^{[ 5 ]}このようなヘッダーはデプロイメントに依存するため、存在しない、変更されている、または複数のプロキシによって追加された値が含まれている可能性があるため、本質的に信頼できるものとして扱うべきではありません。^{[ 6 ]}

リバースプロキシ（またはサロゲート）は、クライアントから見ると通常のサーバーのように見えるプロキシサーバーです。リバースプロキシは、リクエストを処理する1つ以上の通常のサーバーにリクエストを送信します。元のサーバーからの応答は、プロキシサーバーから直接送信されたかのように返されるため、クライアントは元のサーバーについて何も知ることができません。^{[ 7 ]}リバースプロキシは、1つ以上のWebサーバーの近くに設置されます。インターネットから来て、近隣のWebサーバーのいずれかを宛先とするすべてのトラフィックは、プロキシサーバーを経由します。「リバース」という名称は、その対義語である「フォワード」プロキシに由来します。リバースプロキシはWebサーバーの近くに設置され、限られたWebサイトのみをサービスします。リバースプロキシサーバーを設置する理由はいくつかあります。

• TLS 終端: リバース プロキシは、多くの場合、クライアントからのTLS接続を終端し、リクエストをバックエンド サーバーに転送します。これにより、証明書管理、アクセス制御、ログ記録、リクエスト ルーティングを一元化でき、バックエンド サーバーで実行される TLS 関連の作業を削減できます。バックエンド接続は、展開とセキュリティ要件に応じて HTTP または HTTPS を使用する場合があります。最新の展開では、通常、専用の SSL アクセラレーション ハードウェアを必要とせず、オプションでハードウェアの支援を受けて、ソフトウェアで TLS 終端を実行します。複数の名前の証明書は、サブジェクト代替名証明書、ワイルドカード証明書、サーバー名表示(SNI) などのメカニズムを使用して処理できます。 ^{[ 8 ] [ 9 ] [ 10 ]}
• 負荷分散：リバースプロキシは、負荷を複数のWebサーバーに分散させ、各サーバーがそれぞれ独自のアプリケーション領域を担当します。このような場合、リバースプロキシは各WebページのURLを書き換える必要がある場合があります（外部から認識されるURLを内部の場所に変換する）。
• 静的コンテンツの配信/キャッシュ：リバースプロキシは、画像やその他の静的グラフィックコンテンツなどの静的コンテンツをキャッシュすることで、Webサーバーの負荷を軽減できます。
• 圧縮：プロキシサーバーはコンテンツを最適化および圧縮することで、読み込み時間を短縮できます。
• スプーンフィーディング：Webサーバーが送信したコンテンツをキャッシュし、それをクライアントに少しずつ「スプーンフィーディング」することで、Webサーバー上でクライアントの応答速度が遅いことによるリソース使用量を削減します。これは特に動的に生成されるページに有効です。
• セキュリティ：プロキシサーバーは追加の防御層として機能し、一部のOSやWebサーバー固有の攻撃から保護することができます。しかし、一般的に大きな脅威とみなされるWebアプリケーションやサービス自体への攻撃からは保護されません。
• エクストラネット公開：インターネットに接続されたリバースプロキシサーバーを使用して、組織内部のファイアウォールサーバーと通信することで、サーバーをファイアウォールの内側に保持したまま、一部の機能へのエクストラネットアクセスを提供できます。この方法を使用する場合、Webアプリケーションがインターネットからの攻撃にさらされるため、サーバーが侵害された場合に備えて、インフラストラクチャの残りの部分を保護するためのセキュリティ対策を検討する必要があります。

キャッシュプロキシサーバーは、同じクライアントまたは他のクライアントによって行われた以前のリクエストから保存されたコンテンツを取得することで、サービスリクエストを高速化します。^{[ 18 ]}キャッシュプロキシは、頻繁にリクエストされるリソースのローカルコピーを保持し、大規模組織がアップストリーム帯域幅の使用とコストを大幅に削減しながら、パフォーマンスを大幅に向上させることができます。ほとんどのISPと大企業はキャッシュプロキシを使用しています。キャッシュプロキシは、最初のタイプのプロキシサーバーでした。Webプロキシは、WebサーバーからWebページをキャッシュするためによく使用されます。 ^{[ 19 ]}キャッシュプロキシの実装が不十分だと、ユーザー認証を使用できないなどの問題が発生する可能性があります。^{[ 20 ]}

特定のリンク関連の問題や劣化を軽減するように設計されたプロキシは、パフォーマンス強化プロキシ(PEP) です。これらは通常、往復時間が長い場合やパケット損失が多い場合 (無線ネットワークや携帯電話ネットワークなど)、またはアップロードとダウンロードの速度が大きく異なる非対称リンクがある場合にTCPのパフォーマンスを向上させるために使用されます。PEP は、たとえば TCP ACK (確認応答) をマージしたり、アプリケーション層で送信されるデータを圧縮したりすることで、ネットワークをより効率的に使用できます。^{[ 21 ]}

翻訳プロキシとは、ウェブサイトのエクスペリエンスをさまざまな市場向けにローカライズするために使用されるプロキシサーバーです。グローバルなユーザーからのトラフィックは、翻訳プロキシを経由してソースウェブサイトにルーティングされます。訪問者がプロキシサイトを閲覧すると、リクエストはソースサイトに戻り、そこでページがレンダリングされます。レスポンス内の元の言語コンテンツは、プロキシを通過する際に翻訳されたコンテンツに置き換えられます。翻訳プロキシで使用される翻訳は、機械翻訳、人間による翻訳、または機械翻訳と人間による翻訳の組み合わせのいずれかです。翻訳プロキシの実装によって機能は異なります。ソースコンテンツを除外したり、ソースコンテンツを元のローカルコンテンツに置き換えたりするなど、ローカルユーザー向けにソースサイトをさらにカスタマイズできるものもあります。

匿名プロキシサーバー（ウェブプロキシとも呼ばれる）は、一般的にウェブ閲覧の匿名化を試みます。匿名化サーバーにはいくつかの種類があります。宛先サーバー（最終的にウェブ要求を処理するサーバー）は、匿名化プロキシサーバーから要求を受け取るため、エンドユーザーのアドレスに関する情報は受け取りません。ただし、匿名化プロキシサーバーにとっては要求は匿名ではないため、プロキシサーバーとユーザーの間には一定の信頼関係が存在します。多くのプロキシサーバーは、ユーザーへの継続的な広告リンクを通じて資金を得ています。

アクセス制御：プロキシサーバーの中には、ログオンを要求するものがあります。大規模な組織では、承認されたユーザーはWebにアクセスするためにログオンする必要があります。これにより、組織は個々のユーザーの利用状況を追跡できます。匿名化プロキシサーバーの中には、 HTTP_VIA、HTTP_X_FORWARDED_FOR、HTTP_FORWARDEDなどのヘッダー行を含むデータパケットを転送するものがあり、これによりクライアントのIPアドレスが明らかになる場合があります。エリートプロキシまたは高匿名性プロキシと呼ばれる他の匿名化プロキシサーバーは、プロキシサーバーがクライアントであるかのように見せかけます。クライアントが、高匿名性プロキシサーバーを使用していない以前の訪問時のCookieを含むパケットを送信した場合、Webサイトはプロキシが使用されていると疑う可能性があります。Cookieと場合によってはキャッシュをクリアすることで、この問題を解決できます。

プロキシは、ネットワークアドレス変換を使用して企業の内部ネットワーク構造を秘密に保つことができ、内部ネットワークのセキュリティに役立ちます。 ^{[ 23 ]}これにより、ローカルネットワーク上のマシンやユーザーからのリクエストが匿名になります。プロキシはファイアウォールと組み合わせることもできます。プロキシの設定が間違っていると、インターネットから隔離されているはずのネットワークへのアクセスが可能になる場合があります。^{[ 4 ]}

WebプロキシはHTTPリクエストを転送します。クライアントからのリクエストは、パスだけでなく完全なURLが渡される点を除いて、通常のHTTPリクエストと同じです。 ^{[ 25 ]}

GET https://en.wikipedia.org/wiki/Proxy_server HTTP / 1.1 Proxy-Authorization : Basic encoded-credentials Accept : text/html

このリクエストはプロキシサーバーに送信され、プロキシは指定されたリクエストを実行し、応答を返します。

HTTP / 1.1 200 OK Content-Type : text/html; charset UTF-8

一部のウェブプロキシでは、HTTP CONNECTメソッドを使用して接続を介して任意のデータの転送を設定できます。一般的なポリシーは、HTTPSトラフィックを許可するためにポート 443 のみを転送することです。ウェブプロキシ サーバーの例としては、 Apache ( mod_proxyまたはTraffic Serverを使用)、HAProxy、プロキシとして構成されたIIS (アプリケーション要求ルーティングを使用)、Nginx、Privoxy、Squid、Varnish (リバース プロキシのみ)、WinGate、Ziproxy、Tinyproxy、RabbIT、Polipoなどがあります。クライアント側では、複雑なプロキシ サーバーや複数のプロキシ サーバーの問題は、クライアント サーバープロキシ自動構成プロトコル ( PAC ファイル) によって解決されます。

さまざまなオペレーティングシステム（ Windows [ ^{26 ]} Android、macOS、iOS、Xbox OS、PlayStation OS ^{[ 27 ]}など）とさまざまなブラウザ（Edge、Chrome [ ^{28 ]} Safari、Firefoxなど）^{はWebプロキシを}サポートできます。

SOCKSは接続フェーズ後に任意のデータを転送する機能も持ち、WebプロキシにおけるHTTP CONNECTに似ています。

インターセプトプロキシは、クライアントが明示的に選択しなくてもクライアントトラフィックをリダイレクトまたはフィルタリングします。そのため、ブラウザやアプリケーションのプロキシ設定を必要とせずに展開されることが多く、クライアントはトラフィックがプロキシを通過していることに気づかない場合があります。HTTP の用語では、インターセプトプロキシは、ユーザーエージェントによって選択されないため、従来の HTTP プロキシとは異なります。代わりに、ネットワークパスに配置され、送信トラフィック（一般的には TCP ポート 80 トラフィック）をフィルタリングまたはリダイレクトします。^{[ 29 ]}展開コンテキストでは、インターセプトプロキシは一般的に透過プロキシとも呼ばれますが、この用法は、プロキシ認証と識別に必要な範囲を超えてリクエストやレスポンスを変更しないプロキシを意味していた古い HTTP の用語とは区別する必要があります。^{[ 30 ] [ 31 ]}

TCPインターセプトは、TCPサーバーをTCP SYNフラッド攻撃（サービス拒否攻撃の一種）から保護するトラフィックフィルタリングのセキュリティ機能です。TCPインターセプトはIPトラフィックのみに対応しています。

2009年にロバート・オーガーによって透過型プロキシの動作方法におけるセキュリティ上の欠陥が公表され^{[ 32 ]} 、コンピュータ緊急対応チームは影響を受ける数十の透過型および傍受型プロキシサーバーをリストした勧告を発行した^{[ 33 ] 。}

CGI Webプロキシは、ユーザーのブラウザウィンドウ内のWebフォームを使用してターゲットURLを受け入れ、リクエストを処理し、結果をユーザーのブラウザに返します。そのため、「真の」プロキシ設定の変更を許可しないデバイスやネットワークでも使用できます。最初に記録されたCGIプロキシは、当時「rover」という名前でしたが、1998年に「CGIProxy」に改名されました^{[ 36 ]。}これは、1996年初頭にアメリカのコンピュータ科学者James MarshallがRich Morinによる「Unix Review」の記事のために開発したものです^{[ 37 ] 。}

CGIプロキシの大部分は、CGIProxy（Perl言語で記述）、Glype（PHP言語で記述）、またはPHProxy（PHP言語で記述）のいずれかによって動作しています。2016年4月現在、CGIProxyは約200万ダウンロード、Glypeは50万ダウンロード以上を記録しており、PHProxyは依然として毎週数百ダウンロードされています。^{[ 38 ]} VPNやその他のプライバシー保護方法により人気が衰えているにもかかわらず^{[ 39 ]}、2021年9月現在、オンライン上にはまだ数百のCGIプロキシが存在する。^{[ 40 ]}

一部の CGI プロキシは、ウェブサイトを障害者にとってよりアクセスしやすくするなどの目的で設定されましたが、その後、過剰なトラフィックのために停止されました。これは通常、第三者がローカルフィルタリングを回避する手段としてサービスを宣伝したことが原因です。これらのユーザーの多くは、自分たちが引き起こしている副次的被害を気にしないため、組織はプロキシを隠し、組織に連絡して真の必要性を証明した人にのみ URL を公開する必要が生じました。^{[ 41 ]}

サフィックスプロキシを使用すると、ユーザーは要求したコンテンツのURLにプロキシサーバーの名前を追加することでWebコンテンツにアクセスできます（例：「en.wikipedia.org.SuffixProxy.com 」）。サフィックスプロキシサーバーは通常のプロキシサーバーよりも使いやすいですが、匿名性は高くなく、主な用途はWebフィルタを回避することです。しかし、より高度なWebフィルタが普及しているため、この用途はほとんど利用されていません。

Torは、オンラインでの匿名性を提供するシステムです。^{[ 42 ]} Torクライアントソフトウェアは、インターネットトラフィックを世界中のボランティアサーバーネットワーク経由でルーティングし、ネットワーク監視やトラフィック分析を行っている人物からユーザーのコンピュータの位置や使用状況を隠すことができます。Torを使用すると、インターネットアクティビティの追跡が難しくなり、^{[ 42 ]}ユーザーの個人の自由とオンラインプライバシーを保護することを目的としています。

「オニオンルーティング」とは、暗号化サービスの階層構造を指します。元のデータは複数回暗号化され、その後、複数のTorリレーを経由して送信されます。各リレーは暗号化された「層」を復号化してから、データを次のリレー、そして最終的な宛先へと渡します。これにより、転送中に元のデータが解読されたり、内容が理解されたりする可能性が低減されます。

I2P匿名ネットワーク（以下「I2P」）は、オンライン上の匿名性を目指すプロキシネットワークです。Torのオニオンルーティングを拡張したガーリックルーティングを採用しています。I2Pは完全に分散型で、すべての通信を様々なレイヤーで暗号化し、各地のボランティアが運営するルーターネットワークを介して中継することで機能します。情報の発信元を隠すことで、I2Pは検閲耐性を提供します。I2Pの目標は、ユーザーの個人の自由、プライバシー、そして機密性の高い業務遂行能力を保護することです。

I2Pの各ユーザーは、自身のコンピュータ（ノード）上でI2Pルーターを実行します。I2Pルーターは、他のピアを検出し、それらを介して匿名トンネルを構築する役割を担います。I2Pは、HTTP、IRC、SOCKSなど、あらゆるプロトコルに対応したプロキシを提供します。

プロキシの概念は、OSI参照モデルにおける第7層のアプリケーションを指します。ネットワークアドレス変換（NAT）はプロキシに似ていますが、第3層で動作します。

レイヤ3 NATのクライアント設定では、ゲートウェイを設定するだけで十分です。しかし、レイヤ7プロキシのクライアント設定では、クライアントが生成するパケットの宛先は常にプロキシサーバー（レイヤ7）である必要があり、プロキシサーバーは各パケットを読み取り、真の宛先を特定します。

NATはレイヤー3で動作するため、レイヤー7プロキシよりもリソース消費は少ないものの、柔軟性は劣ります。これら2つの技術を比較する際に、「透過型ファイアウォール」という用語に出会うことがあります。透過型ファイアウォールとは、プロキシがクライアントに知られることなくレイヤー7プロキシの利点を活用することを意味します。クライアントはゲートウェイがレイヤー3のNATであると想定し、パケットの中身については何も知りませんが、この方法によってレイヤー3パケットは調査のためにレイヤー7プロキシに送信されます。

DNSプロキシサーバーは、（通常はローカル）ネットワークからのDNSクエリを受け取り、インターネットドメインネームサーバー（DNSサーバー）に転送します。また、DNSレコードをキャッシュすることもあります。

クライアントプログラムの中にはリクエストを「SOCKS化」するものがあり、^{[ 43 ]}これにより、ネットワークソフトウェアを特定の種類のプロキシサーバー（主にSOCKS）を介して外部ネットワークに接続できるように適応させることができます。

住宅プロキシ (RESIP) は、インターネット サービス プロバイダから提供された実際の IP アドレスを携帯電話やエンド ユーザー コンピュータなどの物理デバイスで使用する仲介者です。住宅プロキシ ユーザーは、サーバーに直接接続する代わりに、住宅 IP アドレスを介してターゲットに接続します。ターゲットは、その後、ユーザーを実際のインターネット ユーザーとして識別します。追跡ツールがユーザーの再割り当てを識別できないようにします。^{[ 44 ]}住宅プロキシは任意の数の同時リクエストを送信でき、IP アドレスは特定の地域に直接関連付けられています。^{[ 45 ]}通常の住宅プロキシはユーザーの実際の IP アドレスを別の IP アドレスの背後に隠しますが、バックコネクト プロキシとも呼ばれるローテーション住宅プロキシは、プロキシのプールの背後にユーザーの実際の IP アドレスを隠します。これらのプロキシは、セッションごとまたは一定間隔で切り替えられます。

プロキシホストは自発的に参加しているというプロバイダーの主張にもかかわらず、多数のプロキシは、IoTデバイスを含む、侵害される可能性のあるホスト上で動作しています。ホストを相互参照するプロセスを通じて、研究者は潜在的に不要なプログラムとして分類されたログを特定して分析し、RESIPホストによって実行されたさまざまな不正なアクティビティを明らかにしました。これらのアクティビティには、違法な宣伝、高速フラックス、フィッシング、マルウェアのホスティングなどが含まれます。^{[ 46 ]}