Proxy explicite vs transparent : Différences clés
Les deux transmettent le trafic, mais déploiement et visibilité diffèrent fondamentalement.
Proxy Explicite (Forward)
- Config client requise : Navigateur/app paramétré sur proxy IP:port (ou PAC/WPAD).
- Client conscient : Envoie HTTP CONNECT pour HTTPS ; sait que proxy existe.
- Contrôle : Facile allow/deny par app/user ; auth (NTLM/Kerberos/SAML) simple.
- Cas d'usage : Sortie entreprise, filtrage contenu, DLP, accès internet authentifié.
Transparent (Interceptant)
- Zéro config client : Équipement réseau (WCCP, routage basé politiques, bridge) redirige TCP 80/443 vers proxy.
- Client inconscient : Pense parler directement à destination.
- Défi TLS : Doit terminer TLS (MITM) → installer certif CA sur chaque appareil, ou splice (SNIP) avec inspection limitée.
- Cas d'usage : Cache FAI, filtrage Wi-Fi invités, transparence apps legacy.
Matrice comparaison
| Aspect | Explicite | Transparent |
|---|---|---|
| Config client | Manuelle / PAC / WPAD | Aucune |
| Inspection HTTPS | CONNECT natif | Certif MITM requis |
| Authentification | Intégrée (Kerberos, SAML) | Difficile (pas d'identifiants) |
| Risque contournement | User peut désactiver proxy | Plus dur (forcé réseau) |
| Visibilité | URL complète, headers, body | Complète si MITM ; sinon SNI seul |
Tendance moderne
Proxy explicite + PAC/WPAD + gestion navigateurs (Intune, GPO) préféré entreprises. Transparent réservé réseaux IoT/invités non gérés.