プロキシ

Proxy

ITの運用・現場用語

プロキシとは、クライアントとサーバーの間で通信を中継する代理役です。利用者側の代理をするフォワードプロキシと、サーバー側の入口となるリバースプロキシがあります。

🐾 猫で例えると？

カバンの中の茶トラが、外とのやり取りを飼い主に代わってもらうイメージです。カバンのような遮蔽物そのものがプロキシなのではなく、要求と返事を中継する「代理役」が対応します。

企業では、外向きの通信をフォワードプロキシへ集めて、接続先の制御やログ記録を行う場合があります。すべてのネットワークで必須ではなく、導入目的に合わせて他の方式と選びます。

中継するだけで内容の安全性が保証されるわけではありません。アクセス制御、キャッシュ、検査は製品や設定ごとの機能です。HTTPSをトンネルとして中継する場合は、通常、暗号化された本文の中身をそのまま検査できません。

プロキシには、社内から外へのアクセスを中継する一般的なプロキシ（フォワードプロキシ）のほかに、Webサーバーの手前に配置して世界中からのアクセスを代わりに受け止める「リバースプロキシ」という仕組みもあり、現場では厳格に使い分けられます。

次はリバースプロキシがバックエンドへ渡すヘッダーの説明用例です。192.0.2.10は文書用のIPアドレスです。これらのヘッダーが必ず付くわけではなく、運用側で設定します。

GET /index.html HTTP/1.1
Host: example.com
X-Forwarded-For: 192.0.2.10
X-Forwarded-Proto: https

X-Forwarded-Forは元の接続元を伝えるために使われますが、外部クライアントも同名ヘッダーを送れます。アクセス制御に使う場合は、信頼するプロキシの範囲と、ヘッダーを上書き・追加する規則を合わせる必要があります。

ネットワークエンジニアや社内SEがプロキシの構築・運用を行う際は、パフォーマンスのトレードオフや暗号化通信の特性に配慮する必要があります。

キャッシュできる内容を選ぶ：公開資源の再利用は帯域節約に役立ちますが、個人別の応答を他人へ返さないようCache-Controlなどを適切に扱います。
SSL/TLSインターセプトの運用： 近年の通信はほとんどが暗号化（HTTPS）されているため、プロキシで中身を検査するには暗号を一度復号する特別な証明書運用（SSLプロキシ）が必要になります。
単一障害点（SPOF）への対策： 業務に必要な通信が1台のプロキシに依存すると、その停止で通信できなくなります。停止時の影響と復旧目標を確認し、冗長化や代替経路を検討します。

茶トラの用事を飼い主が仲介する例のように、プロキシは通信の間に立つ役割です。ただし、中継するだけですべての脅威を防げるわけではありません。何を許可し、何を記録・検査するかを設定し、プロキシが止まった場合の影響も確認しましょう。