正向代理与反向代理

2026-11-02

字数统计: 1.9k字 | 阅读时长: 6分

正向代理与反向代理

代理（Proxy）是网络中一种常见的中间层机制，它位于客户端与目标服务器之间，代为转发请求与响应。根据代理的部署位置和服务对象不同，可分为正向代理和反向代理。本文从原理、用途、区别及实际应用场景对其进行全面梳理。

一、什么是代理

代理服务器（Proxy Server）本质上是客户端与服务器之间的一个”中转站”：

1 2	客户端 —— 请求 ——> 代理服务器 —— 转发 ——> 目标服务器客户端 <—— 响应 —— 代理服务器 <—— 响应 —— 目标服务器

代理可以帮助完成转发、缓存、过滤、匿名、负载均衡、安全防护等任务。根据代理是被客户端主动配置使用，还是被服务器侧统一部署，可以划分为：

正向代理（Forward Proxy）：服务于客户端，替”上网的人”访问服务器。
反向代理（Reverse Proxy）：服务于服务器，替”服务器”对外提供服务。

二、正向代理（Forward Proxy）

2.1 定义

正向代理部署在客户端一侧（或在客户端与服务器之间的”客户端所属网络”内），由客户端主动配置。它代表的是客户端，替客户端向目标服务器发出请求，再把响应返回给客户端。

1
2
3

客户端A ─┐
客户端B ─┼──> [正向代理] ──> 目标服务器
客户端C ─┘

对目标服务器而言，它看到的请求来源是代理服务器的 IP，而非真实客户端的 IP。

2.2 典型用途

访问被限制或不可达的资源：绕过防火墙/地域限制，访问境外或特定网络中的站点。
隐藏真实 IP / 保护客户端：目标服务器只能看到代理 IP，无法直接定位客户端。
缓存加速：代理缓存热点内容，减少回源请求，加快访问速度。
内容过滤与审计：企业对员工上网行为进行管控、拦截违规站点、记录访问日志。
局域网共享上网：多个内网客户端通过一台代理统一出口访问公网。

2.3 优缺点

优点

能解决客户端访问受限资源、跨境/跨网访问问题。
可统一出口 IP，隐藏客户端身份。
便于做缓存、内容过滤和上网行为审计。

缺点

需要客户端主动配置代理（或部署统一下发），配置成本高。
代理服务器本身是瓶颈与单点，性能与可用性要求高。
所有流量都要经过代理，可能带来延迟与隐私风险。

2.4 常见工具

HTTP 代理：Squid、Goproxy、HAProxy（作为正向场景）。
SOCKS 代理：Dante、privoxy。
科学上网类客户端（如各类 HTTP/SOCKS5 加速工具），本质上也是客户端侧的代理转发。

三、反向代理（Reverse Proxy）

3.1 定义

反向代理部署在服务器一侧，由服务提供方统一部署，对客户端是透明的。客户端访问的是反向代理，反向代理再转发请求到后端的多台真实服务器。

1
2
3

客户端 ──> [反向代理/Nginx] ──> 后端服务器1
                               后端服务器2
                               后端服务器3

对客户端而言，它只认识反向代理这一”统一入口”，并不知道也不关心后端是哪台服务器、有几台。

3.2 典型用途

负载均衡：把请求分发到多台后端服务器，提升整体吞吐与可用性。
动静分离 / 缓存：把静态资源请求交给缓存或 CDN，动态请求转发到应用服务器。
隐藏后端架构：客户端看不到真实后端 IP，减少被直接攻击面。
集中处理安全策略：在入口统一做 WAF 防护、限流、IP 黑名单、请求体大小限制等。
TLS 卸载 / 统一入口：在反向代理层集中处理 HTTPS 证书、SSL 终止，后端可走明文 HTTP。
多服务路由：一个域名下按路径/域名分发到多个微服务（路径路由、灰度发布）。

3.3 优缺点

优点

对客户端透明，无需客户端配置。
集中承担负载均衡、缓存、安全、限流、SSL 卸载等职责，后端应用更轻量。
可隐藏后端真实架构，提升安全性。

缺点

反向代理本身是流量必经点，是高可用设计的关键单点，通常需做主备/集群。
增加一次转发会带来少量额外延迟。
配置相对复杂（涉及路由、SSL、限流、后端健康检查等）。

3.4 常见工具

Nginx：最主流的反向代理，负载均衡、静态文件服务、缓存。
OpenResty / Kong / APISIX：基于 Lua 的 API 网关。
HAProxy：高性能 TCP/HTTP 负载均衡。
Traefik、Caddy：云原生、自动获取证书的反向代理。
各类云负载均衡（SLB/ALB/LB）也是反向代理的托管形态。

四、正向代理 vs 反向代理

对比维度	正向代理	反向代理
代表谁	代表客户端	代表服务器
部署位置	客户端一侧	服务器一侧
是否对客户端透明	不透明，需客户端显式配置	透明，客户端无需感知
服务对象	多个客户端访问外部	为内部多个服务器对外提供服务
谁能看见目标	客户端知道目标，目标不知道客户端	客户端不知道后端，后端真实地址被隐藏
典型价值	突破访问限制、隐藏客户端、缓存、审计	负载均衡、隐藏后端、安全加固、统一网关
配置主体	客户端 / 客户端网络管理员	服务端运维

一句话记忆：

正向代理：客户端要”越墙”去访问目标 —— 替用户去拿。
反向代理：服务器要”挡在前面”统一对外 —— 替服务器去接。

五、常见组合与生产实践

5.1 前端反向代理 + 后端集群（最常见）

互联网
   │
   ▼
Nginx 反向代理 (80/443, 证书终止 + 负载均衡)
   ├──> Web 服务器 A (10.0.0.11)
   ├──> Web 服务器 B (10.0.0.12)
   └──> Web 服务器 C (10.0.0.13)

5.2 正向代理 + 反向代理同时存在

在一个完整的链路中，两者可能同时出现，例如：

1	内网员工 ──> 企业正向代理（上网管控） ──> 公网 ──> Nginx 反向代理 ──> 后端服务

左侧是正向代理（服务客户端），右侧是反向代理（服务后端），职责边界清晰。

六、如何选择

目标：想让”客户端”借助代理访问外部受限资源 → 正向代理。
目标：想让后端服务器对外提供统一入口、做负载均衡和防护 → 反向代理。
判断口诀：看它在为谁”打工”。 替客户端打先锋的是正向代理；替后端兜底的是反向代理。

七、小结

正向代理面向客户端，客户端主动配置，隐藏客户端身份、突破访问限制。
反向代理面向服务器，对客户端透明，承担负载均衡、安全加固、统一网关。
两者并非互斥，大型系统中常组合使用。
选择取决于你是要”帮客户端访问”还是要”帮服务器接客”。

一句话概括：正向代理是”替用户访问”，反向代理是”替服务器接待”。