Un proxy es un intermediario: recibe tu petición, la repite por ti y te devuelve la respuesta. Según dónde se ponga sirve para controlar la salida a internet o para proteger un servidor. Aquí están los tipos, y por qué no sustituye a un cortafuegos ni a una VPN.
Foto: Letícia Alvares, en Pexels
Un proxy hace de intermediario. Quien pide algo se conecta a él, y él se conecta al destino. Según el NIST, cada conexión se convierte así en dos: una entre el cliente y el proxy, y otra entre el proxy y el destino real. Lo que cambia de un tipo a otro es a quién sirve y dónde está.
| Tipo | Quién lo elige | Dónde está | Para qué se usa |
|---|---|---|---|
| Proxy (de salida) | El cliente, normalmente por configuración | Entre los usuarios e internet | Agrupar las peticiones de una organización para aplicar seguridad o caché |
| Proxy transparente o de interceptación | Nadie: el cliente no lo elige | En el camino de salida | Hacer cumplir normas de uso en empresas, o el registro en redes públicas |
| Proxy inverso, o pasarela | El administrador del servidor | Delante de los servidores | Repartir carga, acelerar con caché o proteger servicios antiguos o poco fiables |
Es el clásico de empresa. Los equipos se configuran para salir por él, y el proxy puede decidir qué se permite y registrar lo que pasa. El NIST añade que algunos pueden exigir que cada usuario se autentique. Quien lo pone sabe quién ha pedido qué, y ese es el motivo por el que interesa en una organización.
Hace lo mismo sin que el equipo lo sepa: filtra o redirige el tráfico de salida de ciertos puertos, como el 80. Lo verás, por ejemplo, en la página de aceptación del WiFi de un hotel. No hay nada que configurar en el equipo, pero tampoco se puede evitar sin cambiar de red.
El RFC 9110 lo describe como un intermediario que, ante quien se conecta, actúa como si fuera el servidor de origen, y traduce las peticiones hacia otro servidor o varios. Quien visita la web no ve lo que hay detrás.
Una aplicación concreta de esta idea es el WAF, que examina las peticiones HTTP antes de que lleguen a la aplicación. Y es la forma habitual de publicar varias webs internas con una sola dirección: se suele colocar en una DMZ.
Aquí viene la confusión, porque existen las dos cosas por separado y también juntas. El NIST distingue:
| Qué es | Cómo funciona | Dónde se pone |
|---|---|---|
| Cortafuegos con estado | Sigue las conexiones y decide con reglas, sin ser el extremo de la conexión | Separando redes |
| Pasarela proxy de aplicación | Una función de cortafuegos avanzados: un agente proxy impide la conexión directa e inspecciona el contenido | En el propio cortafuegos |
| Servidor proxy dedicado | Mantiene el control del proxy, con funciones de cortafuegos mucho más limitadas | Detrás de un cortafuegos tradicional |
La última fila es la clave: un servidor proxy no sustituye al cortafuegos. El NIST lo coloca detrás, con este reparto: el cortafuegos acepta el tráfico y pasa al proxy lo que le corresponde, por ejemplo el correo, y el proxy filtra y registra antes de entregarlo. Hacia fuera funciona al revés: el usuario va al proxy, y el proxy pasa por el cortafuegos.
La pasarela integrada tiene más detalle en la guía de tipos de cortafuegos. En resumen, según el NIST:
Por eso la ficha de un cortafuegos da una cifra con el proxy o la inspección activa muy inferior a la de filtrado simple. La guía de NGFW explica cómo leerlas.
Se confunden porque los dos pueden cambiar la dirección con la que apareces en internet, pero son cosas distintas:
| Dato | Proxy | VPN |
|---|---|---|
| Trabaja con | Peticiones de aplicación, como las de HTTP | Tráfico de red (IP) |
| Qué tráfico cubre | El de las aplicaciones configuradas o el que intercepta | El que se envía por el túnel |
| Cifrado | No tiene por qué haberlo | Es su razón de ser |
| Puede ver el contenido | Sí, si no va cifrado de extremo a extremo o si lo descifra | El cifrado cubre el tramo del túnel; al salir de él sigue su camino normal |
Para unir sedes o dar acceso a una red interna hace falta una VPN, que se compara en WireGuard, OpenVPN o IPsec. Un proxy no sirve para eso.
Ojo con los proxies públicos gratuitos. Todo lo que no vaya cifrado de extremo a extremo pasa legible por un equipo de un desconocido. Es una consecuencia directa de cómo funciona un intermediario, y por eso no conviene usarlos para nada que importe.
Esta orientación es criterio de esta web, no del NIST ni del IETF:
El proxy lo elige el cliente para salir hacia fuera, normalmente por configuración. El proxy inverso se pone delante de los servidores: para quien se conecta, parece el propio servidor, y reparte las peticiones hacia dentro.
No. Según el NIST, los servidores proxy dedicados suelen tener funciones de cortafuegos muy limitadas, y por eso se colocan detrás de un cortafuegos tradicional.
No. Un proxy reenvía las peticiones de las aplicaciones configuradas para usarlo o de los protocolos que intercepta, y no tiene por qué cifrar. Una VPN crea un túnel para el tráfico IP que se envía por ella.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
