Glossar · Plattform
Reverse Proxy
Ein Reverse Proxy steht vor dem Ursprungsserver und nimmt jede Anfrage an seiner Stelle entgegen: Er beendet TLS, entscheidet nach Regeln, welchen Ursprung die Anfrage erreicht, und leitet sie weiter.
So funktioniert es
Der Reverse Proxy nimmt Anfragen an, die an den Namen der Anwendung gerichtet sind, und tritt nach außen an die Stelle des Ursprungs. Er beendet TLS, prüft nach Regeln und leitet an den Ursprungsserver weiter, dem die Anfrage gehört: nach Hostnamen, Pfaden oder anderen Merkmalen. Nach außen bleibt der Ursprung unsichtbar; erreichbar ist der Proxy.
Das Gegenstück heißt Forward Proxy: Er steht beim Nutzer und vertritt ihn nach außen, etwa zur Filterung. Der Reverse Proxy steht bei der Anwendung und vertritt sie nach innen. Welches Zertifikat er zeigt, entscheidet der Servername der Anfrage; wohin er weiterleitet, der Hostname. Beides liest er, bevor er entscheidet.
Warum es wichtig ist
Der Ursprungsserver behält eine geschlossene Front: keine Anfrage ohne Prüfung, kein Weg an ihm vorbei. Regeln an einer Stelle zu bündeln heißt auch, sie an einer Stelle zu ändern: Eine neue Leitregel gilt sofort für jede Anfrage.
Der Preis der Bündelung ist die Stelle selbst: Fällt der Proxy, schweigt alles dahinter, und was er sieht, sieht er im Klartext. Darum gehört er denen, deren Anwendung er schützt, und läuft redundant, wo er gebraucht wird. Kontrolle an einer Stelle verlangt Vertrauen in genau diese Stelle.
Bei obhut
Der TLS-Proxy von obhut gehört zum Angebot: Der Edge terminiert TLS und leitet jede Anfrage an den Ursprungsserver ihres Hostnamens. Bei geleiteten Hostnamen besitzt die Plattform den Namen des Eintrags in der gerenderten Zone.
Fällt die Steuerungsebene aus, läuft der Verkehr weiter: Jeder Knoten hält seine Konfiguration im eigenen Speicher.