Proxy-Wissensdatenbank

HTTP-Proxy-Server

Beschreibung: Proxys dieses Typs unterstuetzen das HTTP-Protokoll und werden fuer den Zugriff auf Webseiten und das Herunterladen von Dateien von Diensten verwendet, die ueber den Standard-TCP-Port 80 arbeiten.

Einschraenkungen: Gewoehnliche HTTP-Proxys sind nicht fuer Websites geeignet, die SSL/TLS erfordern, und koennen nicht in eine Proxy-Kette aufgenommen werden.

Klassifizierung von HTTP-Proxys nach Anonymitaetsstufe

HTTPS-(CONNECT)-Proxys

Diese Proxys unterstuetzen die HTTP-CONNECT-Methode, die HTTP-Tunneling ermoeglicht. In diesem Szenario wird HTTP zur Transportschicht fuer niedrigstufigen TCP-Traffic.

Dadurch koennen solche Proxys nahezu jeden benoetigten Port der Zielressource erreichen und mit den meisten TCP-Anwendungen arbeiten, einschliesslich SSL/TLS-Webservern. Das Tunneling macht HTTPS-Proxys fuer mehrschichtige Ketten geeignet und erhaelt ihre Anonymitaet.

SOCKS-Proxys

Nahezu jede Netzwerkanwendung kann ueber SOCKS-Proxys arbeiten: Mail-Clients, spezialisierte Kommunikationssysteme, Browser, Parser und andere TCP-Werkzeuge.

Die wichtigste SOCKS-Eigenschaft ist die Moeglichkeit, sequentielle Ketten aus mehreren Proxys aufzubauen. Das erhoeht die Anonymitaet, weil SOCKS auf einer niedrigeren Netzwerkebene arbeitet und HTTP-Header nicht modifiziert.

Klassifizierung der SOCKS-Protokollversionen

In der Praxis werden meist die Versionen SOCKS4, SOCKS4a und SOCKS5 genutzt. Alle unterstuetzen IPv4, TCP und die BIND-Methode, die einen Port fuer eingehende Verbindungen oeffnet.

SOCKS4a und SOCKS5 haben gegenueber SOCKS4 einen entscheidenden Vorteil: Der Client kann nicht nur eine IP-Adresse, sondern auch einen Domainnamen uebergeben, und die DNS-Anfrage wird auf der Seite des SOCKS-Servers aufgeloest. Das hilft, DNS-Lecks zu vermeiden. SOCKS5 unterstuetzt zusaetzlich UDP, IPv6 und erweiterte Authentifizierungsmethoden.

Web-Proxys (CGI-Proxys, Anonymisierer)

Ein Web-Proxy ist eine spezialisierte Webseite, ueber die ein Nutzer eine andere Website oeffnet, oft anonym. Eine solche Ressource wird oft CGI-Proxy oder Anonymisierer genannt.

Der Hauptvorteil ist die Einfachheit: In der Regel sind keine Aenderungen an den Browser-Einstellungen erforderlich. Die meisten Web-Proxys koennen mit HTTPS-Ressourcen arbeiten und bei Bedarf in ein Kaskaden-Schema eingebettet werden.

Detaillierte Funktionsanalyse

1. HTTP-Proxys arbeiten strikt auf der Anwendungsschicht, OSI-Layer 7, und eignen sich nur fuer HTTP-Anfragen ohne eingebaute Verschluesselung.
2. HTTPS-Proxys koennen TLS/SSL-Traffic korrekt weiterleiten, indem sie HTTP-Tunneling ueber die CONNECT-Methode nutzen.
3. Alle SOCKS-Versionen arbeiten auf der Sitzungsschicht, OSI-Layer 5, die naeher an der Transportlogik liegt.
4. SOCKS4 ist die Basisversion ohne Authentifizierung und ohne IPv6-Unterstuetzung.
5. SOCKS4a fuegt minimale Verbesserungen hinzu und behaelt dabei die Einschraenkungen von SOCKS4 bei.
6. SOCKS5 ist die fortschrittlichste Implementierung: Sie unterstuetzt Domainnamen, erweiterte Authentifizierung, IPv6 und UDP.

4.1. Klassifizierung nach Hardware-Typ

Proxy-Dienste lassen sich je nach Rechenplattform, auf der sie laufen, in zwei Hauptkategorien einteilen.

4.2. Klassifizierung nach IP-Herkunft

Moderne Datenbanken ermoeglichen die Analyse jeder oeffentlichen IP-Adresse nach Land, Stadt, Provider und Verbindungstyp. Website-Administratoren nutzen diese Daten fuer Marketing, Anti-Fraud, Anti-Bot-Schutz und Inhalts-Personalisierung. Deshalb haengt das Vertrauen in eine Anfrage nicht nur vom Proxy selbst, sondern auch von der Herkunft der IP ab.

5.1. Private Proxys

Der Begriff private weist auf eine Verbindung hin, die nur von einem Subjekt genutzt wird. Eine Ressource kann nur dann als wirklich privat gelten, wenn der Zugriff durch IP-Autorisierung oder Login und Passwort beschraenkt ist und dadurch die gleichzeitige Nutzung durch Aussenstehende verhindert wird.

Der Markt bietet Proxys an, die fuer einen bestimmten Zeitraum an einen Nutzer vermietet werden. Solche Ressourcen sind waehrend der Mietdauer privat, ihre Qualitaet kann aber weiterhin davon abhaengen, wie fruehere Kunden sie genutzt haben. In der Regel ist dies die teuerste Klasse und bietet bei vergleichbarer Infrastruktur die beste Stabilitaet und Geschwindigkeit.

5.2. Gemeinsam genutzte Proxys mit eingeschraenktem Zugriff

Die Kontrolle ueber die Anzahl der Nutzer kann durch IP-Bindung oder verpflichtende Autorisierung durchgesetzt werden. Dieser Ansatz wird haeufig von Betreibern serverbasierter Proxys mit relativ kleinen Pools aus Servern oder Subnetzen verwendet. Solche Ressourcen beschraenken oft bestimmte Aktivitaeten, zum Beispiel ausgehendes SMTP, um RBL-Beschwerden und Abuse-Meldungen zu vermeiden.

Eine alternative Quelle sind Ressourcen aus Botnetzen. Sie koennen durch Zugangsdaten geschuetzt sein, haeufiger wird die Beschraenkung aber ueber nicht standardisierte Ports umgesetzt, die nur dem Infrastrukturbetreiber bekannt sind. Auch BackConnect-Proxys gehoeren hierzu: Sie oeffnen keinen eingehenden Port, sondern initiieren stattdessen die ausgehende Verbindung zu einem Gateway. Ihre Schwaechen sind die unbekannte konkrete IP und ploetzliche Adresswechsel alle paar Minuten.

5.3. Oeffentliche Proxys

Listen oeffentlicher Proxys werden offen auf tausenden Websites veroeffentlicht. Sie entstehen meist nach dem Scannen offener Ports in Netzbereichen oder nach Adresslecks aus Infrastrukturen, die frueher mit Botnetzen verbunden waren. Nach einer Grundpruefung liegt der Anteil wirklich funktionierender Adressen in solchen Sets oft nur bei etwa 5 Prozent.

Kostenpflichtige Aggregatoren sammeln solche Ressourcen, pruefen sie regelmaessig erneut und liefern Nutzern funktionierende Listen mit deutlich hoeherer Zuverlaessigkeit. Genau auf diesem Prinzip beruhen die systematischen Pruefungen und Klassifizierungen auf Good-Proxies.ru.

6.1. Kaskaden-Proxy-Server (Proxy fuer Proxy)

Der Begriff Kaskaden-Proxy wird fuer eine Ressource verwendet, die selbst als Client eines anderen, uebergeordneten Proxy-Servers arbeitet. In dieser Konfiguration werden mehrere Proxys nacheinander verbunden, und jedes naechste Element baut eine ausgehende Verbindung zum vorherigen auf.

Das wichtigste Merkmal einer Kaskade ist, dass die Verbindungs-IP und die endgueltige IP, die die Zielressource sieht, nicht identisch sind. Genau das unterscheidet mehrschichtige Schemata von einem gewoehnlichen Einzelproxy.

1. Mehrere Proxys mit unterschiedlichen Ausgangs-IPs und sogar aus verschiedenen Subnetzen koennen dieselbe endgueltige Ergebnis-IP liefern.
2. Eine einzelne finale IP kann mehrere Ports bereitstellen, von denen jeder zu einem anderen Ausgangs-Proxy und sogar zu einer anderen Geografie fuehrt.

6.2. BackConnect-Proxy-Server (Reverse-Connection-Proxy)

Die BackConnect-Technologie unterscheidet sich grundsaetzlich vom klassischen Proxy-Modell. Ein normaler Proxy oeffnet einen Port und wartet passiv auf eingehende Anfragen, waehrend BackConnect keinen von aussen erreichbaren Dienstport bereitstellt und stattdessen selbst eine ausgehende Verbindung zum Client oder Gateway initiiert.

1. Ein klassischer Proxy bleibt im passiven Modus und wartet auf eine eingehende Verbindung.
2. Ein BackConnect-Proxy stellt die Verbindung selbst her, was Firewalls und NAT leichter umgeht, weil ausgehende Verbindungen gewoehnlich standardmaessig erlaubt sind.

Herausforderungen bei der BackConnect-Implementierung

Eine solche Architektur stellt das System vor zwei grundlegende Aufgaben.

1. Wie die IP-Adresse und der Port des Clients an den BackConnect-Proxy uebergeben werden, damit er die Rueckverbindung aufbauen kann.
2. Wie sichergestellt wird, dass der Client fuer eine eingehende Verbindung vom Gateway-Server bereit ist.

Dies wird meist ueber einen spezialisierten Gateway-Server geloest, der die Anfrage vom Client annimmt, sie an einen der BackConnect-Proxys weiterleitet und das Ergebnis zurueckgibt.

1. Das Gateway nimmt die Anfrage vom Client an und sieht fuer den Client wie ein klassischer Kaskaden-Proxy aus.
2. Das Gateway leitet die Anfrage an einen der verbundenen BackConnect-Knoten weiter.
3. Das Gateway empfaengt das Ausfuehrungsergebnis und sendet es an den Client zurueck.

Nachteile der Technologie: Der Client weiss im Voraus nicht, welche finale IP-Adresse die Anfrage ausfuehren wird. Deshalb erfordert geografische Kontrolle in der Regel mehrere Gateways oder getrennte Port-Pools mit vorhersehbaren Eigenschaften.

In der ueberwiegenden Mehrheit der Faelle stammen BackConnect-Proxys aus Botnet-Infrastrukturen.

7.1. Protokoll-Kompatibilitaet (HTTP vs. HTTPS/SOCKS)

Wenn die Zielressource nur ueber das geschuetzte HTTPS-Protokoll arbeitet, zum Beispiel https://yandex.ru/, ist die Nutzung eines gewoehnlichen HTTP-Proxys nicht geeignet.

1. Standard-HTTP-Proxys ohne CONNECT-Unterstuetzung koennen verschluesselten HTTPS-Traffic nicht korrekt kapseln und weiterleiten.
2. Fuer solche Aufgaben sollten nur HTTPS-Proxys oder SOCKS-Proxys verwendet werden.

7.2. Geografische Eignung (Ausschluss chinesischer Ressourcen)

China ist eine traditionelle Quelle fuer sehr viele Proxy-Ressourcen, und der Anteil solcher Adressen an der Gesamtbasis kann hoch sein.

Gleichzeitig koennen wegen des internen Zensursystems in China einige globale Dienste, darunter Google.com, Gmail.com und x.com, nicht verfuegbar oder instabil sein.

Wenn Ihr Programm zu viele Verbindungsfehler erzeugt, kann ein moeglicher Grund der Versuch sein, ueber einen chinesischen Proxy auf eine blockierte Ressource zuzugreifen.

7.3. Sitzungsstabilitaet (Langlebige Ressourcen)

Wenn Sie Aufgaben in einer Browser-Sitzung oder in einem lang laufenden Skript ausfuehren, sollten langlebige Proxy-Ressourcen Prioritaet haben.

1. Jeder Proxy kann jederzeit aufhoeren zu funktionieren.
2. Das Risiko eines ploetzlichen Abbruchs kann verringert werden, indem Adressen mit strengeren und aussagekraeftigeren Qualitaetsfiltern ausgewaehlt werden.

8.1. Grenzen vollstaendiger Anonymitaet

Die Verwendung eines Proxys garantiert keine absolute Anonymitaet und bedeutet keine vollstaendige Kommunikationssicherheit.

1. Selbst anonyme und hochanonyme Ressourcen koennen weiterhin zulassen, dass identifizierende Daten ueber JavaScript oder andere Austauschmechanismen uebertragen werden.
2. Proxy-Server selbst koennen detaillierte Protokolle fuehren, einschliesslich Traffic, Zugangsdaten und anderer vertraulicher Informationen.
3. Es besteht immer das Risiko, dass eine Ressource von Angreifern, staatlichen Strukturen kontrolliert oder absichtlich zum Abfangen von Traffic aufgebaut wird.

8.2. Aufbau einer Proxy-Kette

Eine Proxy-Kette beschreibt die sequentielle Verbindung mehrerer Ressourcen, um die Anonymitaet durch mehrschichtiges Routing zu erhoehen.

1. HTTPS-Proxys, SOCKS-Proxys und Web-Proxys koennen alle an einer solchen Kette beteiligt sein.
2. Im Gegensatz zu serverseitigen Kaskaden-Schemata wird eine Proxy-Kette ausschliesslich auf der Client-Seite durch spezialisierte Software aufgebaut.

8.3. Methoden zum Aufbau einer Kette

1. Fuer HTTPS- und SOCKS-Ketten benoetigen Sie in der Regel ein separates Client-Werkzeug, zum Beispiel ProxyCap.
2. Wenn die Kette nur aus Web-Proxys besteht, kann sie direkt im Browser aufgebaut werden, indem der naechste Proxy innerhalb der vorherigen Sitzung geoeffnet wird.

8.4. Kritischer Zuverlaessigkeitsparameter

Jede Kette hoert auf zu funktionieren, sobald auch nur eine Komponente darin ausfaellt. Je laenger die Kette, desto hoeher das Ausfallrisiko.

8.5. Aufbau eines Proxy-Judge

Ein Proxy-Judge ist eine spezialisierte skriptbasierte Ressource, die Verbindungsparameter anzeigt und hilft, den tatsaechlichen Anonymitaetsgrad zu bestimmen.

1. Wenn eine HTTP-Anfrage dort ankommt, gibt sie den vollstaendigen Satz der Header und deren Inhalte aus.
2. Diese Datenpunkte ermoeglichen es Proxy-Checkern, den Ressourcentyp und dessen Anonymitaetsgrad zu bestimmen.
3. Die Wahl einer schnellen und korrekten Judge-Ressource ist entscheidend fuer die Konfiguration automatisierter Pruefsysteme.

8.6. IP-Adressierung im Netzwerkraum

Das Internet ist ein globales Netzwerk von Rechenknoten, die ueber kabelgebundene und drahtlose Kommunikationskanaele verbunden sind. Damit diese Knoten Informationen austauschen koennen, benoetigt jeder eine eindeutige Kennung: die IP-Adresse.

Das heute gaengigste Format ist IPv4, also vier numerische Oktette von 0 bis 255, die durch Punkte getrennt sind.

8.7. Klassifizierung von IP-Bereichen

Fuer Administration und Risikobewertung muessen private und gefaehrliche Adressbereiche unterschieden werden.

8.8. DNSBL/RBL-Mechanismus (Realtime Blocking List)

DNSBL oder RBL ist eine strukturierte Liste von IP-Adressen und Domainnamen, die bei schaedlicher Netzwerkaktivitaet beobachtet wurden.

1. Typische Gruende fuer einen Eintrag sind Spam-Kampagnen, DoS- und DDoS-Angriffe sowie aktives Port-Scanning.
2. Die Listen werden ueber die DNS-Infrastruktur verteilt. Einige Datenbanken koennen auch dynamische IP-Adressen ohne direkt boesartiges Verhalten enthalten.
3. Der Hauptzweck von DNSBL ist die Bekaempfung von Spam in E-Mails, Kommentaren und Nachrichtenformularen.

8.9. Verfahren zur Pruefung einer IP-Adresse in DNSBL/RBL

Um Ihre IP anhand der vertrauenswuerdigsten Sperrlisten zu pruefen, oeffnen Sie die Seite fuer Ihre IP- und RBL-Pruefung.

1. Die Pruefung erfolgt nur gegen Sperrlisten, bei denen ein Eintrag tatsaechlich auf potenziell schaedliche Aktivitaet hinweist. Dynamische Listen werden nicht separat analysiert.
2. Nach Abschluss der Abfrage sehen Sie die Liste der Datenbanken, die die Adresse enthalten, und koennen dem aktiven Quelllink folgen, um den Grund und das Verfahren zur Entfernung zu ermitteln.

8.10. Konzept des Botnetzes

Der Begriff Botnet kombiniert die Woerter Robot und Network und bezeichnet ein Netzwerk infizierter Geraete unter zentraler Kontrolle.

1. Angreifer verwenden Viren, Trojaner und Wuermer, um Benutzercomputer auf der ganzen Welt aus der Ferne zu steuern.
2. Solche Programme arbeiten verdeckt und verbrauchen Nutzerressourcen, ohne dass der Nutzer es merkt.
3. Typische Aufgaben eines Botnetzes sind Spam, Passwort-Cracking, DoS-Angriffe und kuenstliche Klickaufblaehung in Werbenetzwerken.