Reverse proxy : définition et utilité

Proxy direct et proxy inverse

Le glossaire de MDN distingue deux familles :

• le proxy direct gère les demandes depuis et vers n'importe où sur Internet, pour le compte de ceux qui passent par lui ;
• le proxy inverse prend des requêtes d'Internet et les transmet aux serveurs d'un réseau interne.

Le premier protège et filtre ceux qui naviguent. Le second protège et organise ceux qui publient.

À quoi sert un reverse proxy

1. Servir plusieurs applications sur les mêmes ports. Un serveur n'a qu'un port 443. Le reverse proxy lit le nom demandé (app.exemple.fr, outils.exemple.fr) et envoie chaque visite vers la bonne application, qui écoute sur un port interne.
2. Porter le HTTPS. Le certificat est posé et renouvelé sur le reverse proxy ; les applications derrière n'ont pas à s'en occuper.
3. Cacher les applications. Seul le reverse proxy est joignable depuis Internet. Une base de données ou une interface d'administration restent sur le réseau interne.
4. Répartir la charge. Le même service peut tourner en plusieurs exemplaires, et le reverse proxy distribue les requêtes entre eux.
5. Ajouter des règles : redirections, en-têtes de sécurité, cache, limitation du nombre de requêtes.

Comment il transmet la requête

Avec nginx, par exemple, la directive proxy_pass indique l'adresse du service à joindre, selon la documentation du module proxy de nginx :

location / {
    proxy_pass       http://localhost:8000;
    proxy_set_header Host      $host;
    proxy_set_header X-Real-IP $remote_addr;
}

L'application derrière voit arriver la requête du reverse proxy, pas celle du visiteur. Pour connaître la vraie adresse du visiteur, elle lit des en-têtes comme X-Real-IP ou X-Forwarded-For. MDN prévient que ces en-têtes peuvent être falsifiés s'ils ne sont pas posés par un proxy de confiance : une application ne doit s'y fier que si elle n'est joignable qu'à travers lui.

Les outils les plus courants

Sur un VPS qui fait tourner des conteneurs, Traefik et Nginx Proxy Manager sont les choix les plus fréquents : voir Traefik et Nginx Proxy Manager. Pour un certificat avec Caddy, voir Un certificat SSL sur son VPS.

Chez Hubspace

Vous en croisez déjà sans le savoir. Sur nos hébergements, nginx est placé devant Apache : il reçoit les visites et les transmet au serveur qui exécute PHP. Cloudflare, quand il est placé devant un site, joue lui aussi ce rôle à l'échelle d'Internet : voir Qu'est-ce que Cloudflare.

Sur nos VPS, le pare-feu n'ouvre que les ports 22, 80 et 443. Un reverse proxy est donc la façon naturelle de publier plusieurs applications Docker : lui seul écoute sur 80 et 443, et les applications restent fermées sur leurs ports internes. Les serveurs sont présentés sur la page des serveurs VPS.

Questions fréquentes