Proxy directo e inverso

Un proxy directo (forward) está del lado de las personas usuarias: los equipos de la empresa piden a él lo que quieren de Internet, y él lo pide en su nombre. Sirve para filtrar y registrar la navegación de salida. Un proxy inverso (reverse) está del lado de los servidores: Internet habla con él creyendo que es el sitio, y él reenvía la petición al servidor real. Sirve para esconder el servidor, repartir carga, terminar el cifrado en un solo punto y filtrar lo que entra.

La pregunta que distingue uno de otro es quién está configurado para usarlo: en el directo, los clientes de la empresa; en el inverso, nadie, porque los clientes de Internet llegan a él sin saberlo.

El registro del proxy es la memoria de lo que pasó: sin él no se investiga una visita rara ni se demuestra que un bloqueo funcionó. Cada proxy debe guardarlo, el directo para saber qué hicieron los equipos y el inverso para saber qué pidieron a los servidores.

Consulta proxies y fíjate en la columna registra.

Para llegar a un sitio con HTTPS a través de un proxy directo, el navegador le envía un método llamado CONNECT: le pide abrir un túnel hasta un destino y un puerto, y a partir de ahí el proxy solo reenvía bytes en los dos sentidos. El estándar (RFC 9110, sección 9.3.6) advierte que un proxy que acepta CONNECT debe limitarlo a un conjunto de puertos conocidos y seguros, porque si no, cualquiera de sus clientes puede usarlo para llegar a servicios que nada tienen que ver con la web.

Compara los puertos de la tabla connect con el esperado para la navegación segura, que es el 443.

Un proxy directo que autentica sabe quién navegó, no solo desde qué equipo; eso vuelve útil el registro cuando se investiga. Un proxy que no autentica deja solo la dirección del equipo, y en una red compartida, como la de visitas, a veces eso es lo único posible. Lo que importa es que sea una decisión y no un olvido.

Detrás de un proxy inverso, la aplicación ve llegar todas las conexiones desde el proxy, no desde la persona. Para no perder el rastro, el proxy añade la dirección del cliente a una cabecera, de uso muy extendido, llamada X-Forwarded-For (el estándar RFC 7239 define una alternativa, Forwarded). Hay una precaución: esa cabecera la puede escribir cualquiera, así que solo se confía en el valor que añadió tu propio proxy, no en el que el cliente trajo de fuera.

Revisa registro_tienda: la columna ip_origen_visto es lo que ve la aplicación.