Rol del proxy inverso en el borde

Un proxy inverso recibe las peticiones de Internet en nombre de los servidores y las reenvía a los destinos internos. Para quien llama, el proxy es el sitio; los servidores de verdad no se ven. Eso da cuatro cosas que conviene tener en un solo lugar: un punto de entrada que se puede vigilar, direcciones internas que no se publican, cifrado de la conexión con el cliente y un registro de todo lo que entra.

Esa puerta única también permite aplicar controles comunes sin tocar cada aplicación: un límite de peticiones, una cabecera de seguridad, una comprobación de credencial. La ventaja se pierde en cuanto un servicio se publica sin pasar por él.

Un inventario de publicaciones dice, para cada servicio, a dónde apunta por dentro y si se llega a él a través del proxy. Cuando una publicación no pasa por el proxy y además se alcanza desde Internet, el servicio responde directamente desde su puerto, con el cifrado, el registro y los límites que él mismo tenga, que en un panel interno suelen ser pocos.

Consulta la tabla publicaciones y fíjate en las columnas via_proxy y alcanzable_desde_internet, y en lo que hace cada servicio.

Un proxy inverso reenvía por rutas: «lo que llegue a esta ruta, al destino tal». Es fácil dejar una ruta de ayuda para el equipo, en pruebas, y que se quede en producción con la regla «cualquier origen». El destino real no cambia, pero ahora lo alcanza cualquiera.

Consulta la tabla rutas_del_proxy y compara el nombre y la función de cada ruta con la columna quien_puede_llegar.

El proxy ve direcciones, métodos y rutas; no sabe de quién es cada dato. La tabla controles separa lo que se aplica en el proxy de lo que solo puede hacer la aplicación, y esa frontera importa: un proxy bien configurado no arregla una aplicación que entrega el pedido de una sucursal a otra.

Para dimensionar el hallazgo se cuenta cuántas publicaciones cumplen las dos condiciones a la vez: se alcanzan desde Internet y no pasan por el proxy. Es un número que se puede llevar a la reunión para pedir un plazo.