Unser Hintergrund: Wir sind Geonode und verkaufen Proxys. Daher dreht sich die erste Hälfte dieses Artikels um die Verwendung unserer Art von Produkt mit Postman. Ehrlich gesagt ist Postman ein schlechtes Tool für Aufgaben, bei denen Proxys intensiv zum Einsatz kommen – es wendet Proxy-Einstellungen global und nicht pro Anfrage an, sodass man nicht einfach eine Anfrage über einen Proxy und eine andere direkt senden kann. Es eignet sich hervorragend, um zu testen, ob ein Proxy funktioniert, und um eine API über einen Proxy zu erkunden; für Arbeitsabläufe, die ein unterschiedliches Routing pro Aufruf erfordern, ist es jedoch das falsche Werkzeug. Nutzen Sie es, um Ihre Konfiguration zu überprüfen, und verlagern Sie die eigentliche Arbeit anschließend auf einen Client, der Ihnen die Kontrolle pro Anfrage ermöglicht.
Welche Funktion möchten Sie nutzen?
Entscheiden Sie sich zunächst dafür, dann ist der Rest ganz einfach.
Sie möchten, dass Postman Ihre Anfragen über einen Proxy sendet. Gründe: Ein Unternehmensproxy ist der einzige Weg aus Ihrem Netzwerk heraus, oder Sie testen eine API über einen Proxy, um die Geolokalisierung oder den Zugriff zu überprüfen. Dies ist die globale Proxy-Konfiguration, die als Nächstes behandelt wird.
Sie möchten Anfragen einer anderen Anwendung erfassen. Gründe: Sie möchten sehen, was eine mobile App oder ein Browser tatsächlich sendet, oder Sie möchten eine Integration eines Drittanbieters debuggen. Dies ist der integrierte Proxy von Postman, der später behandelt wird. Postman fungiert dabei als Vermittler, auf den andere Softwareprogramme verweisen.
Sie werden an unterschiedlichen Stellen konfiguriert und lösen voneinander unabhängige Probleme.
Konfigurieren eines globalen Proxys
In der Dokumentation von Postman werden drei Vorgehensweisen beschrieben.
Standard-Proxy nutzt automatisch den in Ihrem System konfigurierten Proxy. Wenn in Ihrem Betriebssystem bereits einer eingerichtet ist, übernimmt Postman diesen, und Sie müssen nichts weiter tun.
System-Proxy aktiviert explizit den System-Proxy für Anfragen. Diese Einstellung sollten Sie wählen, wenn Sie einen System-Proxy konfiguriert haben und Postman diesen offenbar ignoriert.
Benutzerdefinierter Proxy ermöglicht es Ihnen, einen anderen Server anzugeben. Diese Option sollten Sie für einen kommerziellen Proxy-Dienst verwenden; die Einstellung erfolgt unter „Einstellungen“ auf der Registerkarte „Proxy“.
Die unterstützten Protokolle sind vielfältiger, als man erwarten würde. In der Dokumentation werden „die Protokolle HTTP, SOCKS5, SOCKS5H, SOCKS4 und SOCKS4A“ aufgeführt, wobei eine Einschränkung klar angegeben ist: „Postman unterstützt nur das Senden von HTTP- und HTTPS-Anfragen über einen SOCKS-Proxy.“
Der Eintrag „SOCKS5H“ ist besonders erwähnenswert. Die Variante „h“ sendet den Hostnamen zur Auflösung an den Proxy, anstatt ihn lokal aufzulösen. Dadurch wird verhindert, dass DNS-Abfragen an Ihren eigenen Resolver gelangen, während Ihr Datenverkehr anderweitig weitergeleitet wird. Wenn Sie SOCKS speziell dazu nutzen, Ihren scheinbaren Standort zu ändern, wählen Sie SOCKS5H anstelle von „SOCKS5“.
Die Authentifizierung ist eine separate Option. Für einen Proxy, der Anmeldedaten erfordert, heißt es in der Dokumentation, man solle „die Anmeldedaten zur Postman-Desktop-App hinzufügen“, indem man auf der Registerkarte „Proxy-Einstellungen“ einen Benutzernamen und ein Passwort eingibt. Beachten Sie, dass es sich hierbei um die Desktop-App handelt – die Browserversion kann keinen Proxy in Ihrem lokalen Netzwerk erreichen.
Über die Umgehungsliste können Sie Hosts ausschließen: „Geben Sie eine durch Kommas getrennte Liste von Hosts ein. Anfragen an diese Hosts werden nicht über den benutzerdefinierten Proxy geleitet.“ Tragen Sie hier localhost, 127.0.0.1 und alle internen Hostnamen ein, da sonst Anfragen an Ihren eigenen Entwicklungsserver über den Proxy weitergeleitet werden und verwirrenderweise fehlschlagen.
Überprüfen, ob es tatsächlich funktioniert
Der Schritt, den viele überspringen – und der eine Stunde Zeit spart.
Senden Sie eine Anfrage an einen Dienst, der die von ihm erkannte Adresse meldet:
GET https://api.ipify.org?format=json
Führen Sie den Befehl bei deaktiviertem Proxy aus, notieren Sie sich die Adresse, aktivieren Sie dann den Proxy und führen Sie den Befehl erneut aus. Wenn sich die Adresse nicht ändert, wird der Proxy nicht verwendet. Es erscheint keine Fehlermeldung, die Sie darauf hinweist – die Anfrage wird einfach direkt weitergeleitet und ist erfolgreich.
Drei häufige Gründe, warum die Einstellung nicht wirkt:
Die Bypass-Liste enthält einen Eintrag, der auf Ihr Ziel zutrifft. Überprüfen Sie, ob ein Eintrag vorhanden ist, der es unbeabsichtigt abdeckt.
Sie verwenden die Browser-Version von Postman, die keinen Proxy auf Ihrem Rechner erreichen kann. Die Desktop-App ist erforderlich.
Die Einstellung befindet sich auf der falschen Registerkarte. „Standard“, „System“ und „Benutzerdefiniert“ sind separate Optionen, und die Konfiguration eines benutzerdefinierten Proxys, während die Option „Systemproxy“ ausgewählt ist, hat keine Wirkung.
Bei geografisch gezielten Proxys reicht es nicht aus, nur die Adresse zu überprüfen. Überprüfen Sie das Ergebnis: Fordern Sie etwas an, das sich je nach Region tatsächlich unterscheidet, und vergewissern Sie sich, dass sich die Antwort ändert. Wenn ein Lookup-Dienst das richtige Land angibt, Ihre API jedoch Daten aus Ihrer Heimatregion zurückgibt, bedeutet dies, dass die gezielte Ausrichtung nicht dort ankommt, wo sie benötigt wird.
Die Einstellungen, die Anfragen unterbrechen
Zwei Postman-Einstellungen stehen im Zusammenhang mit der Proxy-Nutzung und führen zu verwirrenden Fehlern.
SSL-Zertifikatsüberprüfung. Wenn Ihr Proxy TLS abfängt – was bei Unternehmens-Proxys häufig der Fall ist –, lehnt Postman das Zertifikat ab, da es von der eigenen Zertifizierungsstelle des Proxys und nicht von einer vertrauenswürdigen Stelle ausgestellt wurde. Das Symptom ist ein TLS-Fehler bei jeder HTTPS-Anfrage.
Die richtige Lösung besteht darin, das CA-Zertifikat Ihrer Organisation in den Zertifikateinstellungen von Postman hinzuzufügen. Die verlockende Lösung besteht darin, die SSL-Überprüfung global zu deaktivieren, doch man sollte sich darüber im Klaren sein, was das bedeutet: Jede Anfrage in Postman akzeptiert dann jedes beliebige Zertifikat, auch bei APIs, bei denen Sie unbedingt wissen möchten, ob jemand Ihre Verbindung abfängt. Wenn Sie die Überprüfung deaktivieren müssen, tun Sie dies bewusst und schalten Sie sie anschließend wieder ein.
Zeitüberschreitungen bei Anfragen. Die Standard-Zeitüberschreitung für Anfragen in Postman ist großzügig bemessen, aber ein Proxy – insbesondere ein privater – verursacht eine echte Latenz pro Anfrage. Wenn Anfragen über einen Proxy eine Zeitüberschreitung aufweisen, während dieselben Anfragen direkt funktionieren, erhöhen Sie die Zeitüberschreitung in den Einstellungen, bevor Sie zu dem Schluss kommen, dass der Proxy defekt ist.
Ein damit zusammenhängender Hinweis zu Collection-Läufen: Über einen Proxy mit Datenvolumenbegrenzung führt ein Collection-Lauf mit einer großen Datendatei eine Anfrage pro Zeile durch, und Sie zahlen für jede einzelne. Das ist im Nachhinein offensichtlich, auf der Rechnung jedoch überraschend.
Der integrierte Proxy von Postman: Erfassen des Datenverkehrs
Die andere Funktion – und eine wirklich nützliche dazu.
In der Dokumentation wird dies direkt beschrieben: „Die Postman-Desktop-App verfügt über einen integrierten Proxy, der HTTP- und HTTPS-Datenverkehr erfassen kann.“ Er fängt Anfragen von Client-Anwendungen ab, leitet sie weiter, erfasst die Antworten und kann zudem Cookies sammeln.
Der Standardport ist 5559.
Um ein anderes Gerät darauf einzurichten, werden in der Dokumentation drei Schritte beschrieben: Ermitteln Sie die lokale IP-Adresse Ihres Computers, konfigurieren Sie die WLAN-Einstellungen des Geräts so, dass ein HTTP-Proxy mit dieser IP-Adresse und dem Proxy-Port verwendet wird, und – speziell für iOS – gehen Sie zu „Einstellungen“, „WLAN“, dem Info-Symbol, „Proxy konfigurieren“, „Manuell“ und geben Sie dann die Server-IP-Adresse und den Port ein.
Dies ist der schnellste Weg, um die Frage „Was sendet diese mobile App eigentlich?“ zu beantworten, die ansonsten überraschend schwierig zu beantworten ist.
HTTPS erfordert ein Zertifikat. In der Dokumentation wird ausdrücklich darauf hingewiesen, dass der Proxy „die Installation des Zertifikats ‚postman-proxy-ca.crt‘ auf Client-Geräten erfordert, um sicheren HTTPS-Datenverkehr zu erfassen“, und dass auf dem Host-Computer „die Installation des Zertifikats es dem Postman-Proxy ermöglicht, sicheren HTTPS-Datenverkehr zu erfassen, der von Browsern und anderen Client-Apps gesendet wird“.
Machen Sie sich klar, was das bedeutet, bevor Sie damit beginnen. Sie installieren eine Zertifizierungsstelle, die Zertifikate für beliebige Domains ausstellen kann, und Postman entschlüsselt daraufhin Ihren TLS-Datenverkehr, um ihn Ihnen anzuzeigen. Das ist der gesamte Mechanismus – es gibt keine Möglichkeit, verschlüsselten Datenverkehr zu überprüfen, ohne die Verschlüsselung aufzuheben.
Zwei Konsequenzen, die man ernst nehmen sollte. Entfernen Sie das Zertifikat, wenn Sie fertig sind, insbesondere auf einem Smartphone, das Sie für private Zwecke nutzen. Und erfassen Sie keinen Datenverkehr, der wichtige Anmeldedaten enthält, solange das Zertifikat installiert ist, da diese Anmeldedaten entschlüsselt und angezeigt werden.
Verwendung von Umgebungen zur Verwaltung proxyabhängiger Aufgaben
Da Postman den Proxy nicht für jede einzelne Anfrage ändern kann, besteht die praktische Lösung darin, alle anderen Parameter anzupassen – und die Umgebungsfunktion eignet sich hierfür hervorragend.
Speichern Sie die Ziel-Basis-URL in einer Umgebungsvariablen, nicht in der Anfrage. Eine Sammlung, deren Anfragen alle {{baseUrl}}
verwenden, kann durch Wechseln der Umgebung auf einen anderen Host verweisen. Auf diese Weise können Sie das Verhalten in verschiedenen Regionen vergleichen, ohne etwas bearbeiten zu müssen:
{{baseUrl}}/api/products?region={{region}}
Erstellen Sie pro Szenario eine Umgebung. Eine „direkte“ Umgebung und eine „über Proxy“-Umgebung, jeweils mit eigenen Variablen, ermöglichen es Ihnen, den Kontext über ein Dropdown-Menü zu wechseln. Sie müssen die Proxy-Einstellung selbst zwar weiterhin in den Einstellungen umschalten, aber alles andere ändert sich mit der Umgebung.
Speichern Sie die Adressprüfung als Anfrage in der Sammlung. Ein „GET https://api.ipify.org?format=json
“, der zusammen mit Ihren echten Anfragen gespeichert wird, bedeutet, dass die Überprüfung des Proxys mit einem Klick statt über einen neuen Tab erfolgt. Fügen Sie ein Testskript hinzu, damit es die Ergebnisse aufzeichnet:
const ip = pm.response.json().ip;
pm.environment.set("observedIp", ip);
console.log("Exit address:", ip);
Prüfen Sie auf regionabhängige Inhalte, nicht auf die Adresse. Bei geografisch ausgerichteten Aufgaben ist es sinnvoll zu prüfen, ob sich die Antwort tatsächlich unterscheidet:
pm.test("Response is region-specific", function () {
pm.expect(pm.response.json().currency).to.eql(pm.environment.get("expectedCurrency"));
});
Dies folgt dem gleichen Prinzip wie überall sonst bei der Arbeit mit Proxys: Eine IP-Abfrage zeigt dir, was der Abfragedienst denkt, und nur die eigene Antwort des Ziels verrät dir, ob die Ausrichtung funktioniert hat.
Und halte Anmeldedaten aus der Sammlung heraus. Proxy-Anmeldedaten gehören in die Einstellungen von Postman, und API-Anmeldedaten gehören in als „secret“ gekennzeichnete Umgebungsvariablen – nicht in die Anfrage und schon gar nicht in eine Sammlung, die Sie exportieren oder teilen möchten. Eine exportierte Sammlung enthält ihre Variablenwerte, sofern diese nicht als „secret“ gekennzeichnet sind. Dies ist ein einfacher Weg, ein Token versehentlich zu veröffentlichen.
Welcher Client für welche Aufgabe
Postman ist ein gutes Tool mit einem bestimmten Anwendungsbereich, und zu wissen, wo seine Grenzen liegen, spart Zeit.
Verwenden Sie Postman für: das interaktive Erkunden einer API, das Überprüfen, ob ein Proxy überhaupt funktioniert, das Erfassen des Datenverkehrs von einem Gerät sowie das Teilen einer Anforderungssammlung mit Kollegen.
Verwenden Sie curl für: alles, was Sie reproduzieren, skripten oder in ein Ticket einfügen möchten. Proxy-Steuerung pro Anfrage mit ``-x`
, ausführliche Ausgabe, die genau zeigt, was über die Leitung gelaufen ist, und einen Befehl, der auf jedem Rechner identisch funktioniert:
curl -x http://user:pass@proxy.example.com:9000 https://api.ipify.org
. Postman kann aus jeder Anfrage einen curl`-Befehl generieren – das ist der schnellste Weg, um von der Erkundung zu etwas Reproduzierbarem zu gelangen.
Verwenden Sie im Code einen geeigneten HTTP-Client für: alles, was mit hohem Datenaufkommen, Routing pro Anfrage, Wiederholungslogik oder Sitzungsverwaltung zu tun hat. Die globale Proxy-Einstellung von Postman ist ein einziger Wert für die gesamte Anwendung, sodass eine Arbeitslast, die unterschiedliche Ausgänge pro Anfrage benötigt, darin überhaupt nicht abgebildet werden kann.
Ein praktischer Arbeitsablauf: Überprüfen Sie, ob der Proxy in Postman funktioniert, exportieren Sie die Anfrage als curl, um sie außerhalb der GUI zu bestätigen, und implementieren Sie sie anschließend im Code mit Steuerung pro Anfrage. Jeder Schritt ist schneller, als den vorherigen mit dem falschen Tool zu debuggen.
Fehlerbehebung
Anfragen funktionieren ohne den Proxy, scheitern aber mit ihm. Überprüfen Sie zunächst die Anmeldedaten – ein 407-Status bedeutet, dass der Proxy Sie abgelehnt hat, und dies ist ein anderer Fehler als ein 401-Fehler, der vom Zielserver stammt. Prüfen Sie anschließend, ob Ihr Anbieter eine IP-Whitelist verwendet, auf der Ihre aktuelle Adresse nicht steht.
Alles läuft langsam. Privathaushalts-Proxys verursachen eine echte Latenz pro Anfrage, was eher physikalisch bedingt ist als ein Fehler. Erhöhen Sie das Timeout und messen Sie die Geschwindigkeit, bevor Sie zu dem Schluss kommen, dass etwas nicht funktioniert.
TLS-Fehler bei jeder HTTPS-Anfrage. Der Proxy fängt TLS ab. Fügen Sie das CA-Zertifikat hinzu, anstatt die Überprüfung zu deaktivieren.
Die Proxy-Einstellung scheint ignoriert zu werden. Überprüfen Sie die Bypass-Liste, stellen Sie sicher, dass Sie die Desktop-App verwenden, und vergewissern Sie sich, dass Sie die richtige Option aktiviert haben – „Benutzerdefiniert“, „System“ und „Standard“ sind voneinander getrennt.
Die Erfassung zeigt nichts an. Stellen Sie sicher, dass sich das Gerät im selben Netzwerk befindet, der Port übereinstimmt und keine Firewall auf Ihrem Rechner eingehende Verbindungen auf Port 5559 blockiert.
Die HTTPS-Erfassung zeigt Verbindungen, aber keinen Inhalt an. Das CA-Zertifikat ist auf dem Client-Gerät nicht installiert oder wird nicht als vertrauenswürdig eingestuft. Auf einigen Plattformen sind die Installation eines Zertifikats und dessen Vertrauenswürdigkeit getrennte Schritte.
Ein 407-Fehler, der trotz korrekter Anmeldedaten weiterhin auftritt. Überprüfen Sie, ob das Passwort Zeichen enthält, die kodiert werden müssen, und stellen Sie sicher, dass Ihr Anbieter überhaupt Anmeldedaten erwartet – viele bieten stattdessen eine IP-Whitelist an, wodurch die Anmeldedaten vollständig aus der Konfiguration entfernt werden. Dies ist sinnvoll, wenn Ihre IP-Adresse stabil ist.
Häufig gestellte Fragen
Wie richte ich einen Proxy in Postman ein?
Öffnen Sie in der Desktop-App die Einstellungen, wechseln Sie zur Registerkarte „Proxy“, wählen Sie dort einen benutzerdefinierten Proxy aus und geben Sie den Host und den Port ein. Postman unterstützt auch die automatische Nutzung des System-Proxys. Fügen Sie auf derselben Registerkarte Anmeldedaten hinzu, falls der Proxy diese benötigt.
Unterstützt Postman SOCKS-Proxys?
Ja – in der Dokumentation sind HTTP, SOCKS5, SOCKS5H, SOCKS4 und SOCKS4A aufgeführt. Die angegebene Einschränkung besteht darin, dass nur HTTP- und HTTPS-Anfragen über einen SOCKS-Proxy gesendet werden können. Verwenden Sie vorzugsweise SOCKS5H anstelle von „SOCKS5“, da dabei Hostnamen am Proxy aufgelöst werden und so das Durchsickern von DNS-Abfragen vermieden wird.
Warum ignoriert Postman meine Proxy-Einstellungen?
In der Regel liegt einer von drei Gründen vor: Der Zielhost stimmt mit einem Eintrag in der Bypass-Liste überein, Sie verwenden die Browser-Version anstelle der Desktop-App oder Sie haben einen benutzerdefinierten Proxy konfiguriert, während eine andere Proxy-Option ausgewählt ist. Überprüfen Sie dies, indem Sie einen Dienst aufrufen, der Ihre Adresse anzeigt.
Wie kann ich Anfragen mit Postman erfassen?
Verwenden Sie den integrierten Proxy, der standardmäßig auf Port 5559 läuft. Ermitteln Sie die lokale IP-Adresse Ihres Computers, konfigurieren Sie das Client-Gerät so, dass es diese als HTTP-Proxy auf diesem Port verwendet, und installieren Sie das Zertifikat „postman-proxy-ca.crt“ auf dem Gerät, falls Sie HTTPS-Anfragen erfassen müssen.
Warum erhalte ich SSL-Fehler, wenn ich in Postman einen Proxy verwende?
Weil der Proxy TLS abfängt und sein eigenes Zertifikat vorlegt, dem Postman nicht vertraut. Fügen Sie das CA-Zertifikat Ihrer Organisation in den Zertifikateinstellungen von Postman hinzu. Das Deaktivieren der SSL-Überprüfung funktioniert zwar und gilt für alle nachfolgenden Anfragen, ist jedoch mit erheblichen Kosten verbunden.
Kann ich in Postman für jede Anfrage einen anderen Proxy festlegen?
Nein. Die Proxy-Einstellung gilt anwendungsweit, was der Hauptgrund dafür ist, dass sich Postman nicht für Workloads eignet, die unterschiedliche Ausgänge pro Anfrage erfordern. Verwenden Sie hierfür einen code-basierten Client und nutzen Sie Postman, um zu überprüfen, ob der Proxy funktioniert, bevor Sie ihn programmieren.
Was ist der Unterschied zwischen den Proxy-Einstellungen von Postman und seinem Capture-Proxy?
Die Proxy-Einstellungen leiten die eigenen Anfragen von Postman über einen externen Proxy weiter. Der Capture-Proxy lässt Postman als Proxy fungieren, über den andere Anwendungen Anfragen senden, sodass Sie sehen können, was diese übertragen. Gegensätzliche Richtungen, voneinander unabhängige Konfigurationen.
Ist es sicher, das Postman-CA-Zertifikat zu installieren?
Es handelt sich um einen bewussten Kompromiss. Das Zertifikat ermöglicht es Postman, Ihren HTTPS-Datenverkehr zu entschlüsseln, was die einzige Möglichkeit ist, ihn zu überprüfen – und es bedeutet, dass alles, was über dieses Zertifikat verfügt, vertrauenswürdige Zertifikate für jede beliebige Domain ausstellen kann. Installieren Sie es, wenn Sie die Capture-Funktion benötigen, entfernen Sie es, wenn Sie fertig sind, und vermeiden Sie den Umgang mit sensiblen Anmeldedaten, solange es installiert ist.
Fazit
Die Verwirrung bei diesem Thema ist ausschließlich auf die Begriffswahl zurückzuführen. Bei den Proxy-Einstellungen von Postman werden Ihre Anfragen über den Proxy eines Dritten weitergeleitet; beim Capture-Proxy von Postman fungiert Postman selbst als Vermittler für andere Anwendungen. Die Entscheidung, welche Option Sie nutzen möchten, dauert nur zehn Sekunden und erspart Ihnen das Lesen der falschen Dokumentation.
Für den ersten Fall nutzen Sie die Desktop-App, richten Sie in den Einstellungen einen benutzerdefinierten Proxy ein, fügen Sie localhost zur Bypass-Liste hinzu und – das ist der entscheidende Schritt – überprüfen Sie dies, indem Sie eine Anfrage an einen Dienst senden, der Ihre Adresse zurückmeldet, da eine Proxy-Einstellung, die nichts bewirkt, überhaupt keinen Fehler ausgibt.
Für die zweite Variante benötigst du Port 5559 und ein CA-Zertifikat auf dem Client-Gerät. Sei dir bewusst, dass das Zertifikat dazu dient, dass Postman deinen Datenverkehr entschlüsseln kann, und entferne es, sobald du fertig bist.
Und machen Sie sich bewusst, wo die Grenzen von Postman liegen. Es wendet Proxy-Einstellungen global an, sodass es überhaupt kein Routing pro Anfrage ermöglichen kann. Nutzen Sie es, um zu überprüfen, ob ein Proxy funktioniert, exportieren Sie die Anfrage als curl, um sie außerhalb der GUI zu testen, und implementieren Sie dann die eigentliche Lösung im Code – was schneller ist, als zu versuchen, ein interaktives Tool für eine automatisierte Aufgabe einzusetzen.