【SC試験 用語解説】プロキシとリバースプロキシ — 役割の違いとセキュリティ用途

概要

プロキシ（フォワードプロキシ）とリバースプロキシは、どちらも「仲介サーバ」ですが守る対象と向きが反対です。前者はクライアント側を代理し内部ユーザのインターネット利用を制御・記録します。後者はサーバ側を代理し外部からの接続を受け付けてバックエンドを隠します。SC試験では両者の違いと各種セキュリティ機能が問われます。

フォワードプロキシ（通常のプロキシ）

役割と配置

内部ユーザ → フォワードプロキシ → インターネット

社内ユーザがWebにアクセスする際、プロキシが代わりに通信します。

セキュリティ機能

機能	内容
Webフィルタリング	有害サイト・業務無関係サイトへのアクセスをURLカテゴリで制限
ログ記録	全HTTPアクセスのURL・ユーザ・日時を記録。内部不正の証跡
マルウェアスキャン	ダウンロードコンテンツをウイルス検査
帯域制御	動画配信などの帯域を制限
匿名化	外部サーバから内部IPを隠蔽（ただし主目的はセキュリティ制御）

SSL/TLSインスペクション（SSLバンプ）

HTTPS通信は暗号化されているため、プロキシが中身を検査できません。

通常のHTTPS：
クライアント ← TLS暗号化 → Webサイト（プロキシは暗号化された内容を見られない）

SSLインスペクション（MITM構成）：
クライアント ← TLS → プロキシ（復号して検査）← TLS → Webサイト
            プロキシが独自CA証明書でクライアントに証明書を提示

要件：クライアントにプロキシのCA証明書をインストールする必要があります。プライバシー・パスワードマネージャとの兼ね合いも考慮が必要です。

認証プロキシ

ユーザ認証（Basic認証・Kerberos・LDAP連携）を要求し、誰がどのサイトにアクセスしたかを記録します。

リバースプロキシ

役割と配置

インターネット → リバースプロキシ → バックエンドサーバ群

外部クライアントはリバースプロキシのIPにしかアクセスできず、バックエンドサーバのIPは隠蔽されます。

主な用途

用途	説明
ロードバランシング	複数のバックエンドにリクエストを分散
SSL終端（TLSオフロード）	TLSの暗号化・復号処理をリバースプロキシが担い、バックエンドの負荷を軽減
WAF統合	リバースプロキシにWAF機能を持たせてSQLi・XSSを防止
キャッシュ	静的コンテンツをキャッシュして応答速度向上
バックエンド隠蔽	Webサーバの実IPを隠してポートスキャンや直接攻撃を防止

SSL終端の注意点

リバースプロキシでTLS終端後：
リバースプロキシ → HTTP（平文）→ バックエンド

セキュリティ要件によっては：
リバースプロキシ → HTTPS（再暗号化）→ バックエンド（エンドツーエンド暗号化）

内部ネットワークでも暗号化が必要な場合（個人情報・医療情報など）は再暗号化を検討します。

SOCKS プロキシと透過プロキシ

種類	説明
SOCKSプロキシ	TCP/UDP全般を中継。HTTPに限らず汎用的
透過プロキシ	クライアント設定不要。ネットワーク機器でトラフィックを横取り
フォワードプロキシ	クライアントが明示的にプロキシを設定する

SC試験での頻出ポイント

• フォワードプロキシとリバースプロキシの違い：前者は内部クライアントの代理（外向き）、後者はバックエンドの代理（内向き）
• SSLインスペクションが必要な理由：HTTPS通信を検査しないとマルウェアのダウンロードやデータ漏洩を見逃す
• SSLインスペクションの前提条件：クライアントにプロキシのCA証明書を配布してインストールする
• リバースプロキシのSSL終端の目的：バックエンドサーバのTLS処理負荷を軽減し、証明書管理を集約
• DMZ構成でのリバースプロキシ：DMZにリバースプロキシを置いてバックエンドサーバを内部に隠蔽

よくある誤問・ひっかけパターン

誤り① 「プロキシを使えばユーザは完全に匿名になる」→ 誤。フォワードプロキシはアクセスを記録しており、管理者はどのユーザが何にアクセスしたかを把握できます。

誤り② 「リバースプロキシはクライアント側に設定が必要」→ 誤。クライアントはリバースプロキシのIPに接続するだけで、リバースプロキシの存在を意識する必要がありません。

誤り③ 「SSLインスペクションはMITM攻撃と同じだから危険」→ 不正確。企業が管理するCA証明書を使った意図的・透明性のある構成です。ただしCA証明書の管理は厳重に行う必要があります。

関連用語

• ファイアウォールとDMZ — プロキシはDMZに配置されることが多い
• TLS（Transport Layer Security） — SSLインスペクションの技術的基盤
• ゼロトラストアーキテクチャ — クラウド時代のSASEはプロキシ機能を包含

重要キーワード

用語	説明
フォワードプロキシ	内部クライアントの代理としてインターネットにアクセスする
リバースプロキシ	外部クライアントの接続を受け、バックエンドサーバに転送する
SSLインスペクション	HTTPS通信をプロキシで復号して内容を検査する仕組み
SSL終端	リバースプロキシがTLSを処理し、バックエンドへの負荷を軽減する
Webフィルタリング	URLカテゴリ・ブラックリストに基づいてWebアクセスを制御する
透過プロキシ	クライアント設定なしでネットワーク機器がトラフィックを横取りするプロキシ