ネットワーク・通信セキュリティ重要度:★★★出題: AM2・PM1

リバースプロキシと TLS終端・フォワードプロキシ

りばーすぷろきし / てぃーえるえすしゅうたん / Reverse Proxy / TLS Termination / Forward Proxy

外部インターネットから内部Webサーバへの要求を代理受信するリバースプロキシと、社内端末から外部Webへの通信を代理中継するフォワードプロキシ。

3行速習ポイント

リバースプロキシ：DMZに配置し、外部からのTLS終端（復号）、負荷分散、キャッシュ、WebサーバのIP隠蔽・直接アクセス遮断を実現
フォワードプロキシ：社内LANから外部インターネットへのHTTP/HTTPSアクセスを一元中継し、URLフィルタリング・マルウェア検査・アクセスログ取得を実施
X-Forwarded-For（XFF）ヘッダ：リバースプロキシやCDNを経由する際、本来の接続元クライアントIPアドレスを後段のWebサーバへ伝達するヘッダ

図解

図リバースプロキシ（公開サーバ保護）とフォワードプロキシ（社内外向き制御）

リバースプロキシ（DMZ・Webサーバ前段配置）外 ➔ 内（サーバ保護）

外部から社内Webサーバへのリクエストを代理受信・TLS終端

TLS復号（終端）、負荷分散、内部APサーバのIP隠蔽を担当。本来の接続元クライアントIPは X-Forwarded-For（XFF）ヘッダで後段へ伝達

フォワードプロキシ（社内LAN出口配置）内 ➔ 外（クライアント統制）

社内端末から外部インターネットへの通信を代理中継・検査

HTTP CONNECTメソッド等でHTTPS通信を中継し、URLフィルタリング、TLSインスペクション（復号検査）、マルウェア・C2通信遮断とログ集約を実施

💡 リバースプロキシ導入時はWebサーバから見た接続元IPがプロキシのIPになるため、X-Forwarded-Forヘッダの参照と偽装防止設定が必須

概要と本質

ネットワーク構成図を読み解く午後試験において、プロキシの挙動理解は必須です。リバースプロキシやCDNを導入すると、後段のWebサーバのTCP接続元IPアドレスがすべてリバースプロキシのIPになるため、アクセス制御やログ記録ではX-Forwarded-Forヘッダの扱い（および偽装防止）が重要な論点になります。

重要ポイント・コア概念

X-Forwarded-For偽装対策：クライアントが最初から偽のXFFヘッダを付与して送信してくる攻撃を防ぐため、最前端のリバースプロキシで外部からのXFFを上書きまたは信頼できるプロキシIPからのみ採用する
HTTPSのCONNECTメソッド：フォワードプロキシ経由でHTTPS通信を行う際、クライアントはプロキシへHTTP CONNECTメソッドを送ってトンネルを確立する
TLSインスペクション（SSL復号）：フォワードプロキシに社内CA証明書を導入し、プロキシで一度TLSを終端・再暗号化することで暗号化通信内のマルウェアや情報持ち出しを検査