Proxyservers 101: Definitie, typen en toepassingen

Ontdek wat proxyservers zijn, verken zes belangrijke proxytypen en ontdek best practices voor netwerkbeveiliging in ondernemingen, TLS-inspectie en SIEM-integratie.

Wat is een proxyserver?

Een proxyserver fungeert als tussenpersoon tussen uw clients en externe bronnen, waarbij verkeer aan de rand van uw netwerk wordt onderschept om beveiligingsbeleid af te dwingen voordat verbindingen hun bestemming bereiken. U plaatst proxy’s om elk verzoek te inspecteren, filteren en loggen, waardoor u inzicht krijgt in wat er door uw omgeving beweegt en de mogelijkheid om bedreigingen te blokkeren voordat ze uw eindpunten bereiken.

Organisaties implementeren proxyservers om controlepunten te creëren waar beveiligingsteams verkeerspatronen kunnen monitoren, beleid voor acceptabel gebruik kunnen afdwingen en verbindingen met kwaadaardige bestemmingen kunnen blokkeren. Volgens NIST SP 800-233 bieden proxyservers consistente beleidsafdwinging aan de netwerkperimeter en vormen ze een cruciaal onderdeel van de beveiligingsarchitectuur van ondernemingen.

Uw proxy’s werken op twee verschillende netwerklagen. Laag 4-proxy’s verwerken TCP/UDP-verbindingen voor basisverkeersroutering en nemen beslissingen op basis van IP-adressen en poortnummers zonder de inhoud van pakketten te inspecteren. Laag 7-proxy’s inspecteren applicatiegegevens en voeren diepgaande pakketinspectie uit van HTTP-headers, URL’s en inhoud die Laag 4 niet kan analyseren. De meeste enterprise security-implementaties vereisen inspectie op Laag 7 om bedreigingen te identificeren die verborgen zijn in applicatieverkeer.

Proxyservers versus VPN’s

Proxyservers en VPN’s leiden beide verkeer via tussenliggende servers, maar ze dienen verschillende doelen en werken op verschillende netwerklagen. Proxy’s werken op de applicatielaag en verwerken specifieke protocollen zoals HTTP of SOCKS voor individuele applicaties. VPN’s versleutelen al het apparaatverkeer op de netwerklaag en creëren een beveiligde tunnel voor alles wat uw systeem verlaat.

Voor enterprise security bieden proxy’s gedetailleerde inhoudsinspectie en beleidsafdwinging die VPN’s niet kunnen leveren. VPN’s versleutelen verkeer end-to-end, waardoor proxy-achtige inhoudsfiltering en threat detection worden voorkomen. Organisaties implementeren doorgaans proxy’s voor webbeveiliging en inhoudscontrole, terwijl VPN’s worden gebruikt voor veilige externe toegang tot interne bronnen. Veel ondernemingen combineren beide technologieën: VPN’s voor connectiviteit van externe medewerkers en proxy’s voor webverkeersinspectie zodra gebruikers verbinding maken met het bedrijfsnetwerk.

Typen proxyservers

Het kiezen van het juiste type proxy hangt af van uw beveiligingsdoelstellingen en netwerkarchitectuur. Elke categorie biedt specifieke mogelijkheden voor verkeersinspectie, privacy of dreigingspreventie.

• Forward proxies - Forward proxies bevinden zich tussen interne clients en externe servers en onderscheppen uitgaande verzoeken voordat ze uw netwerk verlaten. Wanneer gebruikers webinhoud aanvragen, beoordeelt de forward proxy het verzoek aan de hand van beveiligingsbeleid, logt de verbinding en stuurt goedgekeurd verkeer door. Forward proxies zijn de meest voorkomende implementatie voor enterprise content filtering, data loss prevention en afdwinging van acceptabel gebruik.
• Reverse proxies - Reverse proxies beschermen uw servers tegen inkomend verkeer, staan voor webapplicaties om verzoeken te authenticeren, de belasting over serverpools te verdelen en kwaadaardige payloads te blokkeren. Organisaties gebruiken reverse proxies voor DDoS-bescherming, SSL-terminatie en web application firewall-functionaliteit.
• Transparante proxies - Transparante proxies onderscheppen verkeer zonder clientconfiguratie en werken onzichtbaar op de netwerklaag. Enterprise-netwerken implementeren transparante proxies wanneer clientconfiguratie overhead veroorzaakt of wanneer verkeer van apparaten moet worden geïnspecteerd die u niet direct kunt configureren, zoals IoT-systemen.
• Anonieme en hoog-anonieme proxies - Anonieme proxies verbergen client-IP-adressen voor bestemmingsservers door identificerende headers te verwijderen. Hoog-anonieme proxies verbergen elk teken van proxy-infrastructuur. Aanvallers misbruiken deze proxytypen vaak om hun herkomst te verhullen.
• SOCKS versus HTTP-proxies - HTTP-proxies verwerken specifiek webverkeer en inspecteren en filteren HTTP/HTTPS-verzoeken met inhoudsbewuste beleidsregels. SOCKS-proxies tunnelen elk TCP-verkeer ongeacht het applicatieprotocol. Beveiligingsteams implementeren HTTP-proxies voor webfiltering en SOCKS-proxies wanneer applicaties protocolonafhankelijke connectiviteit vereisen.
• Residentiële versus datacenterproxies - Datacenterproxies leiden verkeer via commerciële hostinginfrastructuur. Residentiële proxies leiden verkeer via IP-adressen die zijn toegewezen aan thuisinternetverbindingen. Volgens EUROPOL verkopen criminele diensten steeds vaker toegang tot residentiële proxynetwerken om anti-fraudesystemen te omzeilen die datacenter-IP-reeksen markeren.

Het selecteren van het juiste proxytype vormt de basis voor effectieve netwerkbeveiligingsmaatregelen.

Hoe proxyservers werken

Inzicht in de werking van proxy’s helpt u om implementaties effectief te configureren en te troubleshooten. De request-responsecyclus volgt een consistent patroon, ongeacht het type proxy.

1. Verzoeksonderbreking en evaluatie: Wanneer een client een verbinding initieert, onderschept de proxy het verzoek voordat het externe servers bereikt. De proxy beoordeelt het verzoek aan de hand van geconfigureerd beleid, controleert URL-categorieën, bestemmingsreputatie, gebruikersrechten en inhoudstype. Deze evaluatie vindt plaats in milliseconden, waarbij de proxy het verzoek goedkeurt, blokkeert of wijzigt op basis van uw beveiligingsregels.
2. Verkeersdoorschakeling en afhandeling van antwoorden: Voor goedgekeurde verzoeken maakt de proxy een aparte verbinding met de bestemmingsserver namens de client. De bestemmingsserver ziet het IP-adres van de proxy in plaats van het oorspronkelijke adres van de client. Wanneer de bestemming reageert, ontvangt de proxy eerst de inhoud, inspecteert deze op bedreigingen of beleidschendingen en stuurt vervolgens het goedgekeurde antwoord door naar de oorspronkelijke client.
3. TLS-inspectieproces: Voor versleuteld HTTPS-verkeer gebruiken proxy’s die TLS-inspectie uitvoeren een man-in-the-middle-architectuur. Uw proxy beëindigt de TLS-sessie van de client, ontsleutelt het verkeer voor inspectie en bouwt vervolgens een nieuwe TLS-sessie op met de bestemmingsserver. Dit vereist het uitrollen van vertrouwde certificaten naar clientapparaten zodat ze het certificaat van de proxy accepteren zonder beveiligingswaarschuwingen. Zonder TLS-inspectie kunnen proxy’s alleen metadata zien, zoals bestemmingshostnamen, niet de daadwerkelijke inhoud.
4. Caching en prestatieoptimalisatie: Proxy’s cachen lokaal veelgevraagde inhoud en bedienen herhaalde verzoeken zonder deze opnieuw van de bronserver op te halen. Dit vermindert het bandbreedtegebruik, verbetert de responstijden en verlaagt de belasting van de bestemmingsinfrastructuur. Cachebeleid bepaalt welke inhoud wordt opgeslagen, hoe lang deze wordt bewaard en wanneer deze wordt vernieuwd vanaf de bron.

Veelvoorkomende use-cases voor proxyservers

Organisaties implementeren proxyservers in uiteenlopende scenario’s, van beveiligingshandhaving tot prestatieoptimalisatie en compliance.

1. Enterprise webbeveiliging en contentfiltering: De meest voorkomende enterprise-implementatie filtert webtoegang van medewerkers via forward proxies. Beveiligingsteams blokkeren kwaadaardige sites, beperken toegang tot ongepaste inhoudscategorieën en handhaven beleid voor acceptabel gebruik. Contentfiltering voorkomt data exfiltration door uitgaand verkeer te scannen op gevoelige patronen zoals creditcardnummers, burgerservicenummers of bedrijfsgevoelige gegevens.
2. Applicatielevering en load balancing: Reverse proxies verdelen inkomend verkeer over meerdere backendservers, zodat geen enkele server overbelast raakt. Deze architectuur verbetert de beschikbaarheid van applicaties, maakt implementaties zonder downtime mogelijk en biedt failovermogelijkheden wanneer individuele servers uitvallen. Grote websites en API’s vertrouwen op reverse proxy-infrastructuur om miljoenen gelijktijdige verzoeken te verwerken.
3. Privacy en anonimiteit: Individuen en organisaties gebruiken proxy’s om hun IP-adressen te verbergen voor bestemmingsservers. Journalisten, onderzoekers en privacybewuste gebruikers leiden verkeer via proxyketens om tracking te voorkomen. Bedrijven gebruiken proxy’s voor concurrentieanalyse, toegang tot regiogebonden inhoud en het testen van de weergave van hun applicaties vanuit verschillende geografische locaties.
4. Security research en threat intelligence: Beveiligingsteams leiden verkeer via geïsoleerde proxy-infrastructuur bij het analyseren van malware, onderzoeken van verdachte domeinen of uitvoeren van penetratietests. Dit beschermt productienetwerken tegen blootstelling en stelt onderzoekers in staat om met mogelijk kwaadaardige bronnen te werken. Threat intelligence-platforms aggregeren proxylogs om opkomende aanvalspatronen en command-and-control-infrastructuur te identificeren.
5. Regelgeving en auditlogging: Sectoren met strikte gegevensverwerkingseisen gebruiken proxy’s om uitgebreide audittrails van alle netwerkcommunicatie te creëren. Financiële dienstverlening, gezondheidszorg en overheidsinstanties loggen proxyverkeer om compliance aan te tonen met regelgeving zoals SOX, HIPAA en FedRAMP. Deze logs leveren forensisch bewijs voor incidentonderzoeken en regelgevende audits.

Belangrijkste voordelen van een proxyserver

Organisaties implementeren proxy’s omdat ze meetbare waarde bieden op het gebied van beveiliging, prestaties en compliance wanneer ze correct worden gepositioneerd binnen de netwerkarchitectuur.

1. Gecentraliseerde handhaving van beveiligingsbeleid: Proxy’s fungeren als controlepunt voor de handhaving van beveiligingsbeleid aan de netwerkgrens, met gecentraliseerde toegangscontrole en contentfilteringregels. Volgens CIS Control 12 implementeren enterprise proxyservers realtime contentfiltering en URL-categorisatie met beleidsgebaseerde blokkering, waardoor snelle bescherming tegen nieuw ontdekte bedreigingen aan de netwerkperimeter mogelijk is.
2. Verkeerszichtbaarheid voor threat hunting: Proxylogs onthullen gebruikersgedragspatronen die gecompromitteerde inloggegevens en lateral movement tonen via DNS-patronen, verzoekreeksen en verbindingen met kwaadaardige infrastructuur. Effectieve security operations integreren proxydata met SIEM-correlatie-engines naast IDS/IPS-meldingen, endpointbeveiligingsmeldingen en threat intelligence-feeds.
3. Ondersteuning voor regelgeving en compliance: NIST SP 800-53 Rev 5 stelt dat proxy-gebaseerde DLP-mogelijkheden System and Communications Protection (SC)-controles ondersteunen. Proxylogs bieden audittrails die documenteren wie welke gegevens wanneer heeft benaderd, terwijl DLP uitgaand verkeer inspecteert op gevoelige patronen en ongeautoriseerde gegevensoverdracht voorkomt.

Hoewel deze voordelen proxy’s waardevolle beveiligingsmaatregelen maken, brengen moderne dreigingsomgevingen fundamentele beperkingen aan het licht die u moet aanpakken.

Uitdagingen en beperkingen van proxyservers

Proxy-gebaseerde beveiliging kent structurele beperkingen die zichtbaarheidsgaten creëren in hedendaagse enterprise-omgevingen.

• Het encryptieblindheidsprobleem: Volgens de SANS 2024 SOC Survey neemt de implementatie van TLS-inspectie af terwijl versleuteld verkeer het moderne netwerk domineert. Zonder TLS-inspectie kunt u de daadwerkelijke payload-inhoud niet zien: malwaredownloads, data-exfiltratie en command-and-control-communicatie die plaatsvinden binnen versleutelde sessies.
• Cloud- en hybride architectuurbeperkingen: Directe API-verbindingen met de cloud, SaaS-applicaties en containercommunicatie omzeilen HTTP-proxyzichtbaarheid, waardoor CASB- en CSPM-aanvulling vereist is.
• Geavanceerde ontwijkingstechnieken: Volgens onderzoek van USENIX Security gebruiken tegenstanders Programmable Protocol Systems die nieuwe protocollen genereren die proxy-detectie omzeilen. Advanced persistent threat-groepen implementeren backdoor-varianten die communiceren via Azure-geproxiede C2-infrastructuur en zo traditionele proxydetectie omzeilen.
• Operationele resourcebeperkingen: Volgens de SANS 2019 SOC Survey identificeerde 58% van de ondervraagde SOC’s een gebrek aan gekwalificeerd personeel als de grootste belemmering voor uitmuntende security operations. Veel organisaties hebben onvoldoende personeel om proxy’s correct te configureren, monitoren en te reageren op proxy-gegenereerde meldingen.

Inzicht in deze beperkingen helpt u te anticiperen op hoe tegenstanders proxy-infrastructuur misbruiken.

Hoe aanvallers proxyservers misbruiken

Threat actors misbruiken proxy-infrastructuur voor anonimiteit, ontwijking en het versterken van kwaadaardige operaties. Inzicht in deze aanvalspatronen helpt u proxy-gebaseerde bedreigingen te detecteren en te voorkomen.

• Command-and-control-verhulling: Advanced persistent threat-groepen leiden command-and-control-verkeer via legitieme proxyservices om kwaadaardige communicatie te vermommen als normaal webverkeer. Door C2-verkeer te tunnelen via cloud-gehoste reverse proxies of CDN-infrastructuur, mengen aanvallers zich in het normale verkeerspatroon dat beveiligingstools verwachten te zien. Volgens onderzoek van USENIX Security implementeren geavanceerde threat actors backdoor-varianten die communiceren via Azure-geproxiede en Cloudflare-geproxiede C2-infrastructuur.
• Credential stuffing en accountovername: Aanvallers gebruiken roterende residentiële proxynetwerken om credential stuffing-aanvallen te verspreiden over duizenden IP-adressen. Door te wisselen tussen legitieme residentiële IP’s omzeilen ze rate limiting en IP-gebaseerde blokkering die aanvallen vanuit datacenterinfrastructuur zouden stoppen. Volgens EUROPOL worden residentiële proxynetwerken gecategoriseerd als anti-detectieoplossingen die als commerciële criminele diensten worden verkocht.
• Webscraping en concurrentiespionage: Kwaadwillenden gebruiken proxynetwerken om vertrouwelijke prijsgegevens, klantinformatie en intellectueel eigendom van concurrerende websites te scrapen. Roterende proxies omzeilen botdetectiesystemen die geautomatiseerde toegang blokkeren. Organisaties ontdekken vaak pas na de schade dat concurrenten of threat actors gevoelige bedrijfsgegevens hebben verzameld.
• Advertentiefraude en klikmanipulatie: Fraudeurs leiden valse advertentiekliks via proxynetwerken om onrechtmatige advertentie-inkomsten te genereren. Door de verspreide aard van proxy-infrastructuur is het lastig om frauduleus verkeer van legitieme gebruikersactiviteit te onderscheiden. Advertentienetwerken verliezen jaarlijks miljarden aan proxy-ondersteunde klikfraude.
• Malwareverspreiding en phishing-infrastructuur: Aanvallers hosten phishing-pagina’s en malware-payloads achter reverse proxyservices die SSL-certificaten leveren en de locatie van de bronserver verbergen. Slachtoffers zien legitiem ogende HTTPS-verbindingen terwijl ze interacteren met kwaadaardige infrastructuur. Wanneer beveiligingsteams het proxy-eindpunt identificeren en blokkeren, schakelen aanvallers snel over naar nieuwe infrastructuur.

Het herkennen van deze bedreigingen bepaalt hoe u uw eigen proxy-implementaties configureert en beveiligt.

Hoe proxyserver-implementaties te beveiligen

Het beveiligen van uw proxy-infrastructuur vereist het volgen van gevestigde raamwerken, het implementeren van defense-in-depth-maatregelen en het handhaven van waakzaam toezicht.

• Implementeer gelaagde grensbeveiliging: CIS Critical Control 12 vereist gelaagde grensbeveiliging met firewalls, proxy’s, DMZ-perimeternetwerken en netwerkgebaseerde IPS/IDS. Dwing uitgaand verkeer af via een geauthenticeerde proxyserver met gedetailleerde logging en integratie van contentfiltering.
• Implementeer FIPS-gevalideerde encryptie: De DoD STIG vereist NIST FIPS-gevalideerde cryptografie voor overheidscompliance. Configureer sterke ciphersuites, elimineer zwakke algoritmen en handhaaf minimaal TLS 1.2 met voorkeur voor TLS 1.3.
• Stel volledige logging met SIEM-integratie in: Log individuele TCP-sessies met volledige verbindingsmetadata volgens CIS-vereisten: tijdstempels, bron- en bestemmings-IP’s en poorten, gebruikersnamen, URL’s en domeinen, HTTP-responscodes, overgedragen bytes en beslissingen over contentfiltering. Stuur deze logs in realtime naar uw SIEM voor continue monitoring en dreigingscorrelatie.
• Documenteer de scope en uitzonderingen van TLS-inspectie: Stem TLS-inspectiebeslissingen af op NIST CSF 2.0-governance-eisen, specifiek GV.OC-03 (wettelijke en regelgevende vereisten) en GV.RM-02 (risicobereidheid voor TLS-inspectie). Documenteer welke categorieën verkeer worden geïnspecteerd en implementeer gebruikersnotificatieprocedures.
• Dwing authenticatie af voor alle proxytoegang: CIS Control 12 vereist geauthenticeerde proxytoegang met multi-factor authentication voor externe verbindingen. Integreer met enterprise identity providers zoals Active Directory, Azure AD en Okta voor gecentraliseerd beheer.

Het volgen van deze beveiligingsmaatregelen versterkt uw proxy-implementatie, maar het aanpakken van fundamentele proxybeperkingen vereist endpointmogelijkheden die blijven werken wanneer netwerkinspectie tekortschiet.

Belangrijkste inzichten

Proxyservers bieden gecentraliseerde beleidsafdwinging, verkeerszichtbaarheid en compliance-ondersteuning aan de grenzen van organisaties. Werkend op Laag 4 en Laag 7 onderscheppen en inspecteren proxy’s verkeer om bedreigingen te blokkeren, inhoud te filteren en auditlogs te genereren in overeenstemming met de eisen van het NIST Cybersecurity Framework. Moderne omgevingen brengen echter proxybeperkingen aan het licht, waaronder blindheid voor versleuteld verkeer, omzeiling door cloud-native architecturen en geavanceerde ontwijkingstechnieken.

Effectieve strategieën positioneren proxy’s als één component binnen defense-in-depth-architecturen. Best practices omvatten gelaagde grensbeveiliging volgens CIS Control 12, FIPS-gevalideerde encryptie, SIEM-geïntegreerde logging en geauthenticeerde proxytoegang met MFA. Vul proxymaatregelen aan met endpointdetectiemogelijkheden die zichtbaarheid behouden wanneer inspectie op netwerkniveau tekortschiet.

Veelgestelde vragen

Wat is een proxyserver en waarom wordt deze gebruikt?

Een proxyserver is een intermediair systeem tussen clientapparaten en doelsystemen, dat netwerkverkeer onderschept en verwerkt voordat verzoeken worden doorgestuurd. Organisaties gebruiken proxy's om webinhoud te filteren, beveiligingsbeleid af te dwingen, bronnen te cachen voor prestaties, client-IP-adressen te maskeren en audittrails te creëren. 

Implementaties in ondernemingen richten zich doorgaans op beveiliging en compliance, terwijl individuele gebruikers vaak privacy zoeken of toegang willen tot regiogebonden inhoud.

Hoe verhouden proxyservers zich tot cybersecurity?

Proxyservers bieden drie beveiligingsfuncties zoals gedefinieerd door het NIST Cybersecurity Framework: de Detect-functie via verkeersmonitoring en anomaliedetectie, de Protect-functie via toegangscontroles en contentfiltering, en de Respond-functie via het blokkeren van verkeer en het reageren op dreigingen. 

Proxylogs leveren threat hunting-gegevens, waaronder gebruikersattributie, bestemmingsanalyse en verkeerspatronen die aanvalsketens onthullen. Effectieve beveiligingsoperaties integreren proxygegevens met endpoint detection-mogelijkheden, threat intelligence-platforms en SIEM-correlatie-engines.

Kunnen proxyservers uw IP-adres verbergen?

Ja, proxyservers verbergen uw oorspronkelijke IP-adres voor bestemmingsservers. Wanneer u verbinding maakt via een proxy, ziet de bestemming het IP-adres van de proxy in plaats van dat van u. Het niveau van anonimiteit verschilt echter per type proxy. 

Transparante proxy's geven uw oorspronkelijke IP door in headers, anonieme proxy's verwijderen identificerende informatie, en hoog-anonieme proxy's verbergen elk teken dat er een proxy wordt gebruikt. Voor volledige anonimiteit moet u er rekening mee houden dat proxyproviders nog steeds uw verkeer kunnen zien, en dat geavanceerde trackingtechnieken gebruikers kunnen identificeren via browser fingerprinting, ongeacht IP-verhulling.

Hoe verschilt proxygebaseerde beveiliging van firewallbescherming?

Firewalls werken op netwerklagen (Laag 3/4) en voeren stateful filtering uit op basis van IP-adressen, poorten en protocollen. Proxies werken op applicatielagen (Laag 7) en analyseren inhoud, HTTP-headers, URL's en protocollen, waarbij ze deep packet inspection uitvoeren die verder gaat dan de mogelijkheden van netwerklagen. 

Firewalls nemen binaire toestaan/blokkeren-beslissingen over verbindingen, terwijl proxies de daadwerkelijke inhoud binnen goedgekeurde verbindingen kunnen inspecteren, aanpassen en loggen.

Kunnen proxyservers zero-day malware-aanvallen detecteren?

Proxyservers die gebruikmaken van op handtekeningen gebaseerde detectie kunnen zero-day bedreigingen zonder bekende handtekeningen niet identificeren. Proxies die gedragsanalyse, sandbox-integratie en correlatie van dreigingsinformatie toepassen, kunnen verdachte kenmerken vinden zoals ongebruikelijke verkeerspatronen die wijzen op potentiële onbekende bedreigingen. 

Versleuteld verkeer beperkt echter de zichtbaarheid van de proxy, waardoor endpointdetectie essentieel is om bedreigingen te onderscheppen die netwerkinspectie omzeilen.

Wat is het verschil tussen Secure Web Gateways en traditionele proxyservers?

Secure Web Gateways zijn geëvolueerd uit traditionele proxyservers door geïntegreerde threat intelligence, geavanceerde malwaredetectie, DLP-mogelijkheden en cloudgebaseerde architectuur toe te voegen. 

SWG's combineren URL-filtering, anti-malware, sandboxing, DLP en CASB-functionaliteit als clouddiensten, terwijl traditionele proxy's zich primair richten op contentfiltering en toegangscontrole.

Hoe maken residentiële proxynetwerken cybercriminaliteit mogelijk?

Residentiële proxynetwerken bieden aanvallers toegang tot legitieme residentiële IP-adressen voor het routeren van kwaadaardig verkeer. Volgens EUROPOL zijn deze netwerken anti-detectieoplossingen die credential stuffing, accountovername, advertentiefraude en geografisch gerichte aanvallen mogelijk maken, terwijl anti-fraudesystemen die datacenter-IP-reeksen markeren worden omzeild.

Moeten organisaties on-premises proxy-infrastructuur behouden of migreren naar cloudgebaseerde beveiliging?

Migratiebeslissingen zijn afhankelijk van architectuur en operationele vereisten. Cloud-geleverde SSE-platforms bieden minder overhead en uniforme beveiliging voor verspreide werkplekken. Enterprise-architecturen hanteren gefaseerde overgangen waarbij ZTNA identiteitsbewuste toegang regelt, terwijl legacy-proxy's een afnemende subset van applicaties bedienen. 

Organisaties met strikte eisen voor gegevensresidentie of afgesloten netwerken moeten mogelijk on-premises infrastructuur behouden.