Wat is een Proxy?
Een proxy (of proxyserver) is een tussenstation dat verzoeken van een client, zoals een webbrowser of applicatie, in ontvangst neemt en namens die client doorstuurt naar een doelserver, en het antwoord weer terugstuurt. Doordat al het verkeer via één punt loopt, kunt u het daar filteren, controleren, versnellen en vastleggen. In HTTP is de proxy formeel beschreven in RFC 9110 (HTTP Semantics, juni 2022), dat drie soorten tussenstations onderscheidt: de proxy, de gateway (beter bekend als reverse proxy) en de tunnel. In IT/OT-omgevingen is de proxy een vast onderdeel van de DMZ tussen kantoornetwerk en productienetwerk.
Proxies worden vooral ingezet voor beveiliging, prestatieverbetering, toegangscontrole en Monitoring.
🧠 Hoe werkt een proxy?
Zonder proxy zet een client zelf een verbinding op met de server. Met proxy verloopt de communicatie in twee delen: de client praat met de proxy, en de proxy praat met de server. De proxy ziet daardoor elk verzoek en kan per verzoek beslissen wat ermee gebeurt.
- Verbergen - de doelserver ziet het adres van de proxy, niet het interne IP-adres van de client
- Filteren - de proxy blokkeert websites, bestandstypen, protocollen of bestemmingen die het beleid niet toestaat
- Cachen - veelgevraagde content wordt lokaal bewaard, zodat volgende verzoeken sneller en met minder bandbreedte worden afgehandeld
- Loggen - elk verzoek wordt vastgelegd met tijd, gebruiker en bestemming; die logs voeden een SIEM
- Beleid afdwingen - toegang op basis van gebruiker, groep, tijdstip, inhoud of apparaat, vaak gekoppeld aan IAM en RBAC
Bij versleuteld verkeer (HTTPS) gebruikt de
client de methode CONNECT: de proxy bouwt dan een tunnel naar de server en ziet alleen de
bestemming, niet de inhoud. Wil de organisatie die inhoud toch controleren, dan is TLS-inspectie nodig
(zie verderop). Vraagt de proxy om aanmelding, dan antwoordt hij met statuscode 407 Proxy
Authentication Required.
Hoe vindt een client de proxy? Dat kan via een handmatige instelling in browser of besturingssysteem, via een PAC-bestand (Proxy Auto-Config: een klein JavaScript-bestand dat per URL bepaalt welke proxy wordt gebruikt) of automatisch via WPAD, waarbij de client het PAC-bestand zelf op het netwerk zoekt. WPAD is bekend als aanvalsroute: een aanvaller op hetzelfde netwerk kan zich voordoen als proxy en zo verkeer omleiden. Schakel automatische detectie daarom uit op systemen waar die niet nodig is, zeker in OT.
🛠 Welke typen proxyservers zijn er?
| Type | Richting | Kiest de client de proxy? | Typische toepassing |
|---|---|---|---|
| Forward proxy | Client → proxy → internet | Ja, via browser- of systeeminstelling | Internettoegang en webfiltering voor medewerkers |
| Reverse proxy | Internet → proxy → interne server | Nee, de client denkt met de server te praten | Afschermen van webapplicaties, HMI-webservers en dashboards |
| Transparante proxy | Client → proxy → internet | Nee, het netwerk leidt verkeer om | Filtering zonder clientconfiguratie |
| Applicatieproxy | Beide | Afhankelijk van protocol | Inspectie per protocol (HTTP, FTP, SMTP) |
| Caching proxy | Meestal forward | Ja | Snellere toegang, minder bandbreedte |
| SOCKS-proxy | Client → proxy → bestemming | Ja | Generiek doorsturen van TCP- en UDP-verkeer |
| Webproxy | Browser → webdienst → website | Ja, via een webpagina | Afgeschermd of gefilterd surfen door consumenten; geen beveiligingsmaatregel voor OT |
Een transparante proxy heet in RFC 9110 een interception proxy: de client heeft er niet zelf voor gekozen. Dat werkt goed voor onversleuteld webverkeer, maar bij HTTPS ziet zo’n proxy zonder TLS-inspectie alleen de bestemming. Een reverse proxy heet in dezelfde RFC een gateway: voor de client gedraagt hij zich als de oorspronkelijke server en hij stuurt verzoeken door naar de backend, eventueel vertaald naar een ander protocol. SOCKS5 is vastgelegd in RFC 1928 (maart 1996), gebruikt standaard poort 1080 en kent onder meer aanmelding met gebruikersnaam en wachtwoord. Bekende producten zijn Squid (standaardpoort 3128) voor forward proxy en NGINX, HAProxy en Apache voor reverse proxy.
🔄 Wat is het verschil tussen een proxy, firewall en VPN?
| Kenmerk | Proxy | Firewall | VPN |
|---|---|---|---|
| Werkt op laag | Applicatie (laag 7) | Meestal netwerk en transport (laag 3–4), NGFW ook laag 7 | Netwerk, als versleutelde tunnel |
| Beëindigt verbindingen | Ja, twee aparte sessies | Nee, laat pakketten door of niet | Nee, verlengt het netwerk |
| Ziet inhoud | Ja, bij HTTP; bij HTTPS alleen met TLS-inspectie | Beperkt, tenzij met DPI | Nee, transporteert alleen |
| Hoofddoel | Bemiddelen en controleren per verzoek | Verkeer toestaan of blokkeren | Veilige verbinding over een onveilig netwerk |
Het belangrijkste verschil is dat een proxy de verbinding beëindigt en zelf een nieuwe opbouwt. Een firewall laat pakketten door of niet, maar de client en de server praten nog steeds rechtstreeks met elkaar. In de praktijk werken ze samen: de firewall dwingt af dat clients alleen via de proxy naar buiten kunnen.
🏭 Hoe wordt een proxy ingezet in OT-omgevingen?
In industriële netwerken volgens het Purdue Model is de proxy een van de belangrijkste bouwstenen van de industriële DMZ (IDMZ). Het ontwerp dat Cisco en Rockwell Automation in hun Converged Plantwide Ethernet-architectuur beschrijven, hanteert de regel dat al het verkeer van beide kanten in de IDMZ eindigt en dat er geen direct pad bestaat tussen de bedrijfszone en de industriële zone. Industriële protocollen zoals EtherNet/IP blijven in de productiezone. Precies dat doet een proxy: hij beëindigt de sessie aan de ene kant en opent een nieuwe aan de andere.
Typische toepassingen in OT:
- Reverse proxy voor webinterfaces - kantoorgebruikers bekijken een SCADA-dashboard, Historian-rapportage of HMI-webclient via de proxy in de IDMZ, zonder ooit een verbinding met het productienetwerk te maken
- Forward proxy voor updates - OT-servers halen beveiligingsupdates en antivirusdefinities op via een proxy in de IDMZ die alleen de domeinen van de leveranciers toestaat; dit ondersteunt patchmanagement zonder vrije internettoegang
- Toegang op afstand - leveranciers komen binnen via een Jump Server of RD Gateway in de DMZ, met MFA en sessie-opname, in plaats van via een directe remote-accessverbinding
- Data-uitwisseling - een applicatiespiegel of proxy laat PLC- en historiandata naar boven stromen; voor protocollen als OPC UA wordt hiervoor vaak een gateway of aggregatieserver gebruikt, die technisch een vertalende proxy is
Een proxy is geen vervanging voor een datadiode: een proxy laat verkeer in twee richtingen toe binnen de sessie, terwijl een diode fysiek maar één richting kent. Bij de hoogste beschermingseisen wordt daarom een diode gecombineerd met een proxy of spiegelserver aan de bedrijfskant.
🔐 Welke beveiligingsvoordelen en risico’s heeft een proxy?
| Beveiligingsfunctie | Toelichting |
|---|---|
| IP-afscherming | Externe systemen zien alleen het proxyadres, niet de interne adressering |
| Toegangscontrole | Combinatie met IAM, RBAC en gebruikersgroepen; alleen geauthenticeerde gebruikers komen naar buiten |
| Inhoudsfiltering | Blokkeren van ongewenste sites, categorieën of bestandstypen, en daarmee van veel Malware |
| TLS-inspectie (vroeger SSL-inspectie) | Ontsleutelen en controleren van TLS-verkeer met een eigen certificaatautoriteit |
| Data Loss Prevention (DLP) | Uitgaande uploads controleren op vertrouwelijke gegevens, zoals recepturen of klantbestanden |
| Logging en auditing | Volledig spoor van uitgaand verkeer voor SIEM en incidentonderzoek |
| Aanvalsoppervlak | Een reverse proxy stelt alleen de gepubliceerde paden open, niet de hele backendserver |
De proxy brengt ook risico’s mee:
- Single point of failure - valt de proxy uit, dan valt de dienst uit; zorg in OT voor redundantie of een gedocumenteerde terugvaloptie
- Aantrekkelijk doelwit - wie de proxy beheerst, ziet al het verkeer; RFC 9110 merkt op dat een tussenstation op protocolniveau niet te onderscheiden is van een aanvaller in het midden
- TLS-inspectie heeft een prijs - het interne rootcertificaat moet op elke client staan, applicaties met certificate pinning werken niet meer en het certificaatbeheer wordt zwaarder; bij het lezen van persoonsgegevens gelden bovendien de regels van de AVG
- Valse zekerheid - een proxy dekt alleen het verkeer dat erlangs gaat; zonder firewallregels die direct verkeer blokkeren, omzeilt malware de proxy eenvoudig
🧭 Hoe richt u een proxy in een OT-omgeving in?
Een praktische aanpak in vijf stappen:
- Inventariseer de stromen - welke systemen moeten naar buiten (updates, cloud, licenties) en welke gebruikers moeten naar binnen (dashboards, leveranciers)? Leg elke stroom vast als conduit volgens IEC 62443.
- Kies per richting - een forward proxy voor uitgaand verkeer, een reverse proxy voor inkomend webverkeer, een jump server voor interactieve toegang.
- Plaats de proxy in de DMZ - nooit in de productiezone zelf; de firewall staat alleen verkeer van en naar de proxy toe.
- Werk met een allowlist - sta in OT alleen expliciet benoemde domeinen en paden toe, in plaats van een blocklist met categorieën zoals op kantoor.
- Koppel aan monitoring - stuur proxylogs naar het SIEM en controleer ze op afwijkende bestemmingen, bijvoorbeeld een PLC-engineeringstation dat onverwacht naar het internet probeert.
Voor organisaties die onder de Cyberbeveiligingswet vallen, die op 15 augustus 2026 in werking is getreden, helpen een goed ingerichte proxy en de bijbehorende logs om aan te tonen dat netwerksegmentatie en toegangsbeheer daadwerkelijk werken. De NIST SP 800-82 Rev. 3 (Guide to Operational Technology (OT) Security, september 2023) beveelt eveneens een DMZ aan waarin gedeelde diensten tussen IT en OT worden ondergebracht. Een proxy past bovendien in een Zero Trust-aanpak, waarin elke toegang per verzoek wordt beoordeeld.
❓ Veelgestelde vragen
Wat is het verschil tussen een forward en een reverse proxy?
Een forward proxy werkt namens de client: medewerkers of systemen gaan via de proxy naar buiten. Een reverse proxy werkt namens de server: externe gebruikers denken met de server te praten, maar praten met de proxy die de backend afschermt. In OT wordt de forward proxy vaak gebruikt voor updates en de reverse proxy voor dashboards.
Maakt een proxy mij anoniem op internet?
Een proxy verbergt het IP-adres van de client voor de doelserver, maar de proxy zelf ziet en logt alles. Een proxy is daarom geen anonimiseringsdienst; in een bedrijfsnetwerk is juist het vastleggen van verkeer een van de doelen.
Kan een proxy HTTPS-verkeer inspecteren?
Een proxy kan HTTPS-verkeer alleen inspecteren met TLS-inspectie, waarbij de proxy de verbinding ontsleutelt en opnieuw versleutelt met een eigen certificaat. Zonder TLS-inspectie ziet de proxy alleen de bestemming. TLS-inspectie vereist een intern rootcertificaat op alle clients en werkt niet bij applicaties met certificate pinning.
Is een proxy hetzelfde als een firewall?
Een proxy is niet hetzelfde als een firewall. Een firewall laat pakketten door of blokkeert ze, terwijl een proxy de verbinding beëindigt en zelf een nieuwe opbouwt. In een goed ontwerp vullen ze elkaar aan: de firewall dwingt af dat verkeer alleen via de proxy mag.
Waarom staat een proxy in de industriële DMZ?
Een proxy staat in de industriële DMZ zodat er geen directe verbinding bestaat tussen het kantoornetwerk en het productienetwerk. Alle sessies eindigen in de DMZ, waardoor een aanvaller op het kantoornetwerk niet rechtstreeks een PLC of SCADA-server kan bereiken.
Welke poort gebruikt een proxyserver?
Een proxyserver heeft geen vaste poort, maar er zijn gangbare waarden: 8080 voor veel HTTP-proxy’s, 3128 als standaard van Squid en 1080 voor SOCKS. Reverse proxy’s luisteren meestal gewoon op 443 voor HTTPS.
📌 Samengevat
Een proxy bemiddelt tussen client en server, beëindigt verbindingen en maakt daardoor filtering, caching, logging en toegangscontrole op één punt mogelijk. Forward proxy’s regelen uitgaand verkeer, reverse proxy’s beschermen interne servers. In IT/OT-omgevingen is de proxy een kernonderdeel van de IDMZ, mits hij wordt gecombineerd met firewallregels, monitoring en een strikte allowlist.
Een proxy fungeert als gecontroleerd tussenstation tussen netwerken of systemen en zorgt dat er geen direct pad bestaat tussen kantoor en productie. Onmisbaar in netwerken waar Segmentatie, Monitoring en risicobeperking essentieel zijn.