Proxy przezroczyste

Proxy przezroczyste dodaje do żądania nagłówki w rodzaju X-Forwarded-For z prawdziwym adresem klienta lub Via z oznaczeniem proxy. Strona widzi i proxy, i Ciebie.

Takie proxy stawiają dostawcy internetu, szkoły i biura do buforowania lub filtrowania. Często użytkownik nawet ich nie ustawia – ruch jest przechwytywany w sieci.

Do pracy, w której strona ma widzieć inny adres, proxy przezroczyste się nie nadaje. Potrzebny jest wtedy proxy anonimowy lub elitarny.

Jakie nagłówki docierają do stron, sprawdzisz przez sprawdzarkę proxy i stronę Mój IP.

Jak przezroczyste proxy przechwytuje ruch

W przeglądarce nie ma żadnych ustawień proxy. Router lub brama sieciowa przekierowuje wychodzące połączenia na port 80 do serwera proxy, a ten odpowiada w imieniu strony. Użytkownik niczego nie zauważa, poza czasem stroną blokady lub starą zapisaną kopią strony.

Przy HTTPS takie proxy widzi znacznie mniej. Bez odszyfrowania poznaje tylko nazwę strony z SNI i ilość danych, ale nie strony ani nagłówki. Pełna kontrola HTTPS jest możliwa tylko wtedy, gdy urządzenie ufa certyfikatowi głównemu sieci, jak to często bywa na laptopach firmowych.

Jak sprawdzić własną sieć

• Otwórz stronę „Mój IP” bez proxy i porównaj adres z tym, który widać w routerze lub na koncie u operatora internetu.
• Porównaj zachowanie zwykłej strony HTTP i HTTPS: przezroczyste proxy zwykle działają tylko z portem 80.
• Jeśli masz własny serwer, poszukaj w jego logach nagłówków Via lub X-Forwarded-For w swoich żądaniach.
• Na komputerze służbowym sprawdź, kto wystawił certyfikat strony HTTPS: nazwa Twojej firmy zamiast publicznego urzędu certyfikacji oznacza kontrolę ruchu.

Gdy pracujesz przez Prokso z takiej sieci

Przezroczyste proxy, które przechwytuje port 80, zwykle nie dotyka połączeń z portami Prokso, takimi jak 823, 824 czy 10000-20000. W przypadku stron na HTTPS żądanie idzie wewnątrz tunelu CONNECT, więc treść pozostaje zaszyfrowana między Twoim programem a stroną. Jeśli sieć wypuszcza na zewnątrz tylko porty 80 i 443, połączenia z portami Prokso mogą w ogóle nie przejść i jest to sprawa dla administratora sieci.