Proxy esplicito vs proxy trasparente: differenze chiave
Entrambi inoltrano il traffico, ma distribuzione e visibilità differiscono fondamentalmente.
Proxy esplicito (forward)
- Configurazione client richiesta: Browser/app impostato su IP:porta proxy (o PAC/WPAD).
- Cliente consapevole: Invia HTTP CONNECT per HTTPS; sa che esiste il proxy.
- Controllo: Facile permettere/negare per app/utente; autenticazione (NTLM/Kerberos/SAML) semplice.
- Caso d'uso: Egress aziendale, filtraggio contenuti, DLP, accesso internet autenticato.
Proxy trasparente (intercettante)
- Zero configurazione client: Apparato di rete (WCCP, routing basato su policy, bridge) reindirizza TCP 80/443 al proxy.
- Cliente ignaro: Crede di parlare direttamente con la destinazione.
- Sfida TLS: Deve terminare TLS (MITM) → installare certificato CA su ogni dispositivo, oppure splicing (SNIP) con ispezione limitata.
- Caso d'uso: Caching ISP, filtraggio Wi-Fi ospiti, trasparenza app legacy.
Matrice di confronto
| Aspetto | Esplicito | Trasparente |
|---|---|---|
| Configurazione client | Manuale / PAC / WPAD | Nessuna |
| Ispezione HTTPS | CONNECT nativo | Certificato MITM richiesto |
| Autenticazione | Integrata (Kerberos, SAML) | Difficile (nessuna credenziale) |
| Rischio bypass | L'utente può disattivare proxy | Più difficile (applicato dalla rete) |
| Visibilità | URL completo, intestazioni, corpo | Completo se MITM; altrimenti solo SNI |
Tendenza moderna
Proxy esplicito + PAC/WPAD + gestione browser (Intune, GPO) preferito per le imprese. Trasparente riservato a reti IoT/ospiti non gestite.