Proxy Manager

Ein Proxy-Server im Docker-Container, ähnlich wie Squid, aber mit WebUI und REST-API.

• HTTP/HTTPS-Proxy (Port 3128) für Browser, Systemproxy, Outlook/Exchange (EWS, MAPI over HTTP, OWA, ActiveSync)
• SOCKS5-Proxy (Port 1080) mit TCP und UDP. Darüber läuft jedes TCP-Protokoll, z. B. SMTP (25/465/587), IMAP (143/993), POP3 (110/995), SSH, RDP oder FTP-Steuerverbindungen.
• Portweiterleitungen TCP/UDP für Programme ohne Proxy-Unterstützung, z. B. WireGuard, Outlook-Mailkonten oder Geräte
• Beide Proxy-Ports verstehen HTTP und SOCKS5, das Protokoll wird automatisch erkannt.
• Benutzerverwaltung mit Login am Proxy (Basic-Auth bzw. SOCKS5-Login)
• Black-/Whitelist für Domains, Wildcards, Regex, IPs/Netze und Ports, global oder pro Benutzer
• Verlauf: Wer hat wann was aufgerufen, mit Datenmenge, Dauer und Status, als CSV exportierbar
• Live-Verbindungen ansehen und trennen
• Dashboard mit Statistik
• REST-API mit API-Tokens und Swagger-Doku unter /api/docs
• PAC-Datei für automatische Browser-Konfiguration unter /proxy.pac
• Daten liegen in einer SQLite-Datei im Bind Mount ./data, es gibt keine Docker-Volumes.

Start

cp .env.example .env        # ADMIN_PASSWORD setzen (sonst wird eins generiert, siehe Log)
docker-compose up -d --build
docker-compose logs proxy   # zeigt ggf. das generierte Admin-Passwort

WebUI: http://<host>:8080 (Host-Ports in .env änderbar: HTTP_PORT_HOST, SOCKS_PORT_HOST, WEB_PORT_HOST)

Ports

Port	Zweck
3128/tcp	HTTP/HTTPS-Proxy (+ SOCKS5)
1080/tcp	SOCKS5 (+ HTTP)
8080/tcp	WebUI + API
10800-10819/udp	SOCKS5 UDP ASSOCIATE (ein Port pro aktiver UDP-Sitzung)
40000-40019/tcp+udp	Frei für Portweiterleitungen

Die Bereiche sind in docker-compose.yml einstellbar (SOCKS_UDP_PORTS, FORWARD_PORTS plus das Port-Mapping). Mit network_mode: host entfällt das Mapping. Dann ist jeder Port für Weiterleitungen nutzbar.

Für SOCKS5-UDP muss SOCKS_UDP_ADVERTISE in .env die IP des Docker-Hosts enthalten, wie sie die Clients erreichen. Im Host-Netzwerk-Modus ist das nicht nötig.

Clients einrichten

Client	Einstellung
Browser	HTTP-Proxy host:3128 oder PAC-URL http://host:8080/proxy.pac
Windows-Systemproxy / Outlook (Exchange)	HTTP-Proxy host:3128
Thunderbird (SMTP/IMAP/POP3)	SOCKS5 host:1080, „DNS über SOCKS“ aktivieren
Kommandozeile	export https_proxy=http://user:pass@host:3128
WireGuard	Weiterleitung UDP 40000 → vpn.example.com:51820, im Client Endpoint = host:40000
Outlook IMAP/SMTP-Konto	Weiterleitungen, z. B. TCP 40001 → imap.example.com:993 und 40002 → smtp.example.com:587. Achtung: Das TLS-Zertifikat lautet auf den echten Servernamen, ggf. per hosts-Eintrag auf den Proxy zeigen lassen.
Programme ohne Proxy-Support	Proxifier/proxychains mit SOCKS5 oder eine Weiterleitung

Regeln

Auswertung in dieser Reihenfolge:

1. Loopback-Schutz (127.0.0.0/8, ::1), abschaltbar
2. Sperr-Regeln des Benutzers
3. Erlaubt-Regeln des Benutzers
4. Globale Sperr-Regeln
5. Globale Erlaubt-Regeln
6. Standardrichtlinie des Benutzers bzw. die globale Standardrichtlinie

Host-Muster	Bedeutung
leer / *	alle Ziele
example.com	Domain inkl. aller Subdomains
*.example.com	Platzhalter
10.0.0.0/8, 1.2.3.4	IP/Netz, wird gegen die aufgelöste Ziel-IP geprüft
re:^ads?\.	regulärer Ausdruck

Ports: leer = alle, sonst z. B. 25, 8000-9000 oder 25,465,587.

Whitelist für einen Benutzer: Standardrichtlinie des Benutzers auf „Alles sperren“ stellen und Erlaubt-Regeln anlegen. Blocklisten importieren: „Liste importieren“ versteht eine Domain pro Zeile und das Hosts-Datei-Format (0.0.0.0 ads.example.com).

Hinweise

• Bei HTTPS sieht der Proxy nur Host und Port, nicht die komplette URL, weil es kein SSL-Aufbrechen gibt. Bei unverschlüsseltem HTTP wird die volle URL protokolliert.
• Bei SOCKS5 mit lokaler DNS-Auflösung (socks5:// statt socks5h://) kennt der Proxy nur die IP. Dann greifen nur IP-Regeln, Domain-Regeln nicht. In den Clients deshalb „DNS über Proxy“ aktivieren.
• Der Verlauf wird nach log_retention_days (Standard 90 Tage) automatisch bereinigt. Rechtliche Vorgaben (DSGVO, Betriebsrat) beachten.
• Backup: Ordner ./data sichern.

API

Interaktive Doku: http://host:8080/api/docs. Token in der WebUI unter „API“ erzeugen.

TOKEN=...
curl -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
     -X POST http://host:8080/api/users -d '{"username":"max","password":"geheim123"}'
curl -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
     -X POST http://host:8080/api/rules -d '{"action":"deny","host":"tiktok.com"}'
curl -H "Authorization: Bearer $TOKEN" "http://host:8080/api/history?username=max&limit=50"

Wichtige Endpunkte: /api/users, /api/rules (+ /bulk, /test), /api/forwards, /api/history (+ /export.csv), /api/stats, /api/connections, /api/settings, /api/tokens.