proxy.pac einrichten: Datei schreiben, auf den Webserver legen, Clients verteilen, testen

English version of this guide

Eine PAC-Datei (Proxy Auto-Config, meist proxy.pac oder wpad.dat genannt) ist eine kleine Textdatei mit einer JavaScript-Funktion. Sie entscheidet für jede Anfrage des Browsers, ob er direkt verbindet oder über welchen Proxy. Diese Anleitung führt in vier Schritten durch die Einrichtung. Sie schreiben die Datei, legen sie auf einen Webserver, teilen den Clients die Adresse mit und testen das Ergebnis.

Die Seiten, auf die diese Anleitung für Details verweist, sind auf Englisch; sie tragen den Hinweis „(Englisch)“. Für die Einrichtung selbst brauchen Sie sie nicht.

Schritt 1: Die Datei schreiben

Für jede Anfrage ruft der Browser die Funktion FindProxyForURL(url, host) auf. url ist die vollständige Adresse, host nur der Rechnername daraus, etwa www.example.com. Die Funktion antwortet mit einem Text:

• "DIRECT" heißt: ohne Proxy verbinden.
• "PROXY proxy1.firma.example:8080" heißt: diesen Proxy verwenden.
• "PROXY proxy1.firma.example:8080; PROXY proxy2.firma.example:8080" ist eine Liste. Fällt der erste Proxy aus, nimmt der Browser den nächsten.

Eine vollständige Datei für ein typisches Firmennetz sieht so aus:

// Interne Kurznamen, die Benutzer ohne Domain eintippen
var kurznamen = ["intranet", "wiki", "drucker"];

function FindProxyForURL(url, host) {
  // Rechnernamen klein schreiben: Vergleiche im Skript unterscheiden Gross- und Kleinschreibung
  host = host.toLowerCase();

  // Die echten internen Kurznamen, nicht jeder Name ohne Punkt
  if (kurznamen.indexOf(host) >= 0) {
    return "DIRECT";
  }

  // Die interne DNS-Zone und alle Rechner darin
  if (host == "firma.example" || dnsDomainIs(host, ".firma.example")) {
    return "DIRECT";
  }

  // Private Adressen, aber nur wenn die URL schon eine IP-Adresse enthaelt
  // (sonst loest isInNet den Namen erst per DNS auf)
  if (/^\d+\.\d+\.\d+\.\d+$/.test(host) &&
      (isInNet(host, "10.0.0.0", "255.0.0.0") ||
       isInNet(host, "172.16.0.0", "255.240.0.0") ||
       isInNet(host, "192.168.0.0", "255.255.0.0"))) {
    return "DIRECT";
  }

  // Standardroute: alles andere ueber die Firmen-Proxys, der zweite ist die Ausweichroute
  return "PROXY proxy1.firma.example:8080; PROXY proxy2.firma.example:8080";
}

Ersetzen Sie firma.example und die Proxy-Namen durch Ihre eigenen. Drei Punkte entscheiden darüber, ob die Datei zuverlässig arbeitet:

• Die Standardroute steht als letzte Zeile. Die erste return-Anweisung, die ausgeführt wird, entscheidet. Alle Ausnahmen gehören deshalb darüber. Endet die Funktion ohne return, verbinden die Browser direkt, und der Verkehr läuft unbemerkt am Proxy vorbei.
• Namen kosten nichts, DNS-Abfragen schon. Die Liste der Kurznamen und dnsDomainIs() prüfen nur den Text. isInNet() mit einem Rechnernamen löst den Namen dagegen per DNS auf, und wenn der DNS-Server nicht antwortet, wartet jede Anfrage. Deshalb prüft die Beispieldatei Netze nur, wenn die URL schon eine IP-Adresse enthält (DNS in PAC-Dateien, Englisch).
• Nur reines ASCII. Schreiben Sie die Datei in einem Texteditor, nie in einer Textverarbeitung, denn die macht aus geraden Anführungszeichen typografische, und das ist ein Syntaxfehler. Lassen Sie auch in Kommentaren die Umlaute weg, dann liest jede Engine die Datei gleich. Speichern Sie nie als UTF-16 (im Windows-Editor früher „Unicode“): Windows und Firefox können eine solche Datei nicht lesen.

Die Kurznamen stehen bewusst als Liste in der Datei. Die bequemere Funktion isPlainHostName() würde jeden Namen ohne Punkt direkt schicken, auch einen vertippten Namen aus dem Internet, und der Benutzer bekäme dann eine Fehlermeldung statt der Sperrseite des Proxys. Fertige, kommentierte Vorlagen finden Sie auf der Seite mit PAC-Beispielen (Englisch); der PAC-Generator (Englisch) baut eine Datei aus Ihren Listen von Proxys, Domains und Netzen.

Schritt 2: Die Datei auf einen Webserver legen

Die Clients laden die Datei über eine URL. Sie brauchen also einen Webserver, den alle Clients erreichen, und zwar ohne Proxy. Wählen Sie eine feste Adresse, die sich nicht mehr ändert, zum Beispiel https://pac.firma.example/proxy.pac, denn genau diese Adresse steht später in jedem Client.

Eine Dateifreigabe oder ein file://-Pfad ist kein Ersatz: Chrome und Edge laden PAC-Dateien nicht mehr aus Dateipfaden, und wer auf die Freigabe schreiben darf, bestimmt das Routing.

Unter Apache genügen diese Zeilen in der Konfiguration der Website (für Header muss das Modul mod_headers aktiv sein):

AddType application/x-ns-proxy-autoconfig .pac
<Files "proxy.pac">
    Header set Cache-Control "max-age=3600"
</Files>

Prüfen Sie anschließend, was der Server tatsächlich schickt:

curl -sI https://pac.firma.example/proxy.pac

Die erste Zeile muss 200 enthalten, darunter sollten content-type und cache-control stehen.

Schritt 3: Den Clients die Adresse mitteilen

Am sichersten tragen Sie die Adresse fest und zentral ein, für jede Art von Client an der Stelle, die er liest:

Warum eine verteilte Richtlinie manchmal nicht ankommt, etwa weil sie pro Benutzer statt pro Rechner gilt oder weil Edge eine eigene Richtlinie hat, erklärt die Seite PAC file not applied by Group Policy or Intune (Englisch).

Schalten Sie die automatische Erkennung aus, wenn Sie ein Setupskript eintragen. Der Schalter heißt in Windows Einstellungen automatisch erkennen, in Firefox Die Proxy-Einstellungen für dieses Netzwerk automatisch erkennen. Bleibt er an, ersetzt jede wpad-Antwort in einem fremden Netz Ihr Skript (Web proxy auto-detection, Englisch).

WPAD nur, wo es nicht anders geht. Die automatische Erkennung findet die Datei ohne jede Einstellung am Client. Sie fragt aber DHCP und DNS ohne Authentifizierung und lädt die Datei über reines HTTP. Wer zuerst antwortet, liefert die Datei und damit das Routing. Die Risiken und wie man sie begrenzt, stehen auf der WPAD-Seite (Englisch); den Server für eine wpad.dat richtet der wpad.dat-Generator (Englisch) ein.

Schritt 4: Testen, vor und nach der Verteilung

Testen Sie die Datei, bevor ein Client sie bekommt. Der PAC-Tester auf dieser Website ist englischsprachig, die Bedienung ist aber schnell erklärt:

Testen Sie mindestens eine Adresse pro Regel Ihrer Datei, dazu eine reine IP-Adresse, einen kurzen Namen ohne Punkt und eine Adresse, die einer internen Domain nur ähnelt (etwa firma.example.boese.example). Wählen Sie dabei die Profile der Clients, die Ihre Benutzer tatsächlich verwenden, denn die Engines verhalten sich nicht in allen Punkten gleich. Die Datei wird in Ihrem Browser ausgewertet; zur Bewertung wird nur ihre logische Struktur übertragen, ohne Namen, Adressen oder Text.

Verteilen Sie die Adresse danach zuerst an eine kleine Pilotgruppe. Prüfen Sie dort, ob die Clients die Datei wirklich verwenden: in Chrome und Edge unter chrome://net-internals/#proxy bzw. edge://net-internals/#proxy, für WinHTTP mit netsh winhttp show advproxy. Clients, die schon eine ältere Datei geladen haben, behalten sie eine Weile; wie Sie jede Engine zum Neuladen bringen, zeigt PAC cache reset (Englisch). Lädt ein Client die Datei gar nicht, hilft PAC file troubleshooting (Englisch) weiter.

Wenn alles stimmt, bekommen alle Clients die Adresse. Bei jeder späteren Änderung der Datei testen Sie wieder im Tester, bevor Sie die neue Fassung auf den Server legen.

Häufige Fragen

Wie richte ich eine proxy.pac ein?

Schreiben Sie eine Textdatei proxy.pac mit der Funktion FindProxyForURL(url, host), die für jede Anfrage "DIRECT" oder "PROXY host:port" zurückgibt. Legen Sie sie auf einen Webserver, der sie über HTTPS mit Status 200 und dem Content-Type application/x-ns-proxy-autoconfig ausliefert. Verteilen Sie die Adresse per Gruppenrichtlinie, Intune, Browser-Richtlinie oder MDM-Profil, und testen Sie die Datei vor und nach der Verteilung.

Was ist der Unterschied zwischen proxy.pac und wpad.dat?

Der Inhalt ist derselbe. wpad.dat ist nur der Name, unter dem die automatische Proxy-Erkennung (WPAD) die Datei sucht. Eine proxy.pac tragen Sie dagegen mit ihrer Adresse fest in die Einstellungen der Clients ein, was sicherer ist.

Wo trage ich die PAC-Datei in Windows ein?

In Windows 10 und 11 unter Einstellungen, Netzwerk und Internet, Proxy, bei "Setupskript verwenden" auf "Einrichten" klicken, den Schalter einschalten, die Skriptadresse eintragen und speichern. Für viele Rechner setzen Sie dieselbe Einstellung per Gruppenrichtlinie oder Intune.