Ambos encaminham tráfego, mas implantação e visibilidade diferem fundamentalmente.
Proxy Explícito (Forward)
- Config cliente necessária: Navegador/app definido para proxy IP:porta (ou PAC/WPAD).
- Cliente ciente: Envia HTTP CONNECT para HTTPS; sabe que proxy existe.
- Controle: Fácil allow/deny por app/usuário; autenticação (NTLM/Kerberos/SAML) direta.
- Caso de uso: Saída corporativa, filtro conteúdo, DLP, acesso internet autenticado.
Proxy Transparente (Interceptador)
- Zero config cliente: Equipamento rede (WCCP, policy-based routing, bridge) redireciona TCP 80/443 para proxy.
- Cliente desconhece: Acha que fala direto com destino.
- Desafio TLS: Precisa terminar TLS (MITM) → instalar cert CA em todo dispositivo, ou splice (SNIP) com inspeção limitada.
- Caso de uso: Cache ISP, filtro Wi-Fi guest, transparência app legado.
Matriz de Comparação
| Aspecto | Explícito | Transparente |
|---|
| Setup cliente | Manual / PAC / WPAD | Nenhum |
| Inspeção HTTPS | CONNECT nativo | Cert MITM necessário |
| Autenticação | Integrada (Kerberos, SAML) | Difícil (sem credenciais) |
| Risco bypass | Usuário pode desconfigurar proxy | Mais difícil (rede força) |
| Visibilidade | URL completa, headers, body | Completa se MITM; senão só SNI |
Tendência Moderna
Proxy explícito + PAC/WPAD + gestão navegador (Intune, GPO) preferido para enterprises. Transparente reservado para redes IoT/guest não gerenciadas.
