Proxy Sunucusu Nedir? Tanım ve Mimarisi

Proxy Sunucusu Aslında Nedir?

Bir proxy sunucusu bir ürün, bir gizlilik özelliği ya da bir yazılım türü değildir. Bu, bir iletişim sürecindeki bir konumdur — bağlantınızı sonlandıran ve sizin adınıza hedef sunucuya kendi bağlantısını kuran bir makinedir. İleri yönlü mü ters yönlü mü, şeffaf mı yoksa seçkin mi gibi tartışılan her ayrım, iki teknik sorudan kaynaklanır: Aracıyı kim seçti ve hedef, isteğinizi görmeden önce aracı hangi başlık alanlarını yeniden yazıyor?

HTTP’nin kendi teknik özellikleri, bu protokolle ilgili pazarlama söylemlerinden daha katıdır. RFC 9110’un 3.7. bölümünde üç yaygın aracı türü belirtilmiştir; bunları birbirinden ayıran unsur yazılım değildir — tek bir program birden fazla rol üstlenebilir — konum ve seçimdir.

• Spesifikasyonda belirtildiği üzere, bir proxy, genellikle yerel yapılandırma kuralları aracılığıyla istemci tarafından seçilen bir mesaj iletme aracısıdır. İstemci, onu oraya kendisi yerleştirdiği için varlığından haberdardır.
• Bir ağ geçidi — ki RFC belgesinde de “ters proxy” olarak da adlandırılır — giden bağlantı için kaynak sunucu görevi görür; ancak alınan istekleri çevirir ve bunları başka bir sunucuya veya sunuculara iletir. Ziyaretçiye göre bu, gerçek sunucudan ayırt edilemez.
• Bir tünel, mesajları değiştirmeden iki bağlantı arasında “kör” bir aktarıcı görevi görür ve HTTP iletişiminin bir tarafı olarak kabul edilmediğini belirtmek, teknik şartnamede açıkça belirtilmiştir.

Bu terimler, kafa karışıklığının çoğunu tek seferde ortadan kaldırır: Bir proxy sunucusu, ne olarak satıldığına göre değil, nerede bulunduğu ve kimin tarafından seçildiğine göre tanımlanır. Aynı yazılımı çalıştıran aynı makine, bir şirketin çalışanları için bir proxy sunucusu ve aynı zamanda önündeki site için bir ağ geçidi olabilir.

Bir katman ayrımını başlangıçta yapmak ve daha sonra bu konuyu bir kenara bırakmak yerinde olacaktır. Bir HTTP proxy'si HTTP mesajlarını anlar — istek satırınızı ayrıştırır ve başlıklarınızı yeniden yazabilir. RFC 1928'de tanımlanan bir SOCKS proxy'si ise bir katman daha aşağıda çalışır ve TCP bağlantısını (uygulandığı yerlerde UDP'yi de) içinde ne aktarıldığını ayrıştırmadan iletir. Aracınızı hangisine yönlendireceğiniz konusunda ayrı bir sayfa bulunmaktadır: HTTP ve SOCKS5 Karşılaştırması. Vekil denetleyicisi Okumaktansa denemeyi tercih ederseniz, her ikisini de konuşur.

Bu sayfa, söz konusu rolü tanımlamaktadır; bu rolün herhangi bir türünü değil. Hücresel durum için — mobil ağdaki bir cihaz olan çıkış noktası — bkz. Mobil proxy nedir?. Çıkış türlerinin sınıflandırmasına ilişkin olarak bkz. proxy türleri hakkında açıklama.

Kabloda Aslında Neler Değişiyor?

“Proxy sunucusu nasıl çalışır?” sorusuna verilen hemen hemen her cevap, “atlama noktaları” hakkında bir anlatımdır: isteğiniz önce buraya, sonra oraya, ardından da web sitesine gider. Bu doğru olmakla birlikte neredeyse hiçbir işe yaramaz; çünkü gözlemleyebileceğiniz hiçbir şeyi açıklamaz. Gözlemlenebilir şekilde değişen üç şey vardır ve bu üçünün de tamamı HTTP mesajının kendisinde yer alır.

1. İstek hedefi şekil değiştirir

Bir sunucuya doğrudan gönderilen istek, RFC 9112’de “origin-form” olarak adlandırılan biçimi kullanır: yalnızca yol; ana bilgisayar adı ise Host başlığında ayrı olarak taşınır. Bölüm 3.2'de ise bir "MUST" düzeyinde gereklilik belirtilir: CONNECT veya sunucu genelindeki OPTIONS isteği dışında bir proxy'ye istek gönderirken, istemci hedef URI'yi istek hedefi olarak mutlak biçimde göndermelidir. Proxy'nin bunun hedef olduğunu varsayamayacağı için, tam URL istek satırına taşınır.

Direct to the origin (origin-form)
    GET /pub/index.html HTTP/1.1
    Host: example.org

Through a forward proxy (absolute-form, RFC 9112 s3.2)
    GET http://example.org/pub/index.html HTTP/1.1
    Host: example.org
    Proxy-Authorization: Basic dXNlcjEyMzpzM2NyZXQ=

2. HTTPS için proxy kullanımı söz konusu değildir — tünelleme yoluyla sağlanır

Bağlantı https olarak kurulduğu anda, yukarıdaki mekanizma artık geçerli olmaz. İstemci, proxy’nin okumasını gerektiren bir istek göndermez; bunun yerine, üçüncü bir istek hedefi biçimi olan “yetki biçimi”ni kullanarak bir CONNECT isteği gönderir — bu, iki nokta üst üste ile ayrılmış ana bilgisayar ve bağlantı noktası bilgilerinden ibarettir. RFC 9110, bundan sonra ne olacağını şöyle açıklar: CONNECT, alıcının istek hedefi ile tanımlanan hedef kaynak sunucuya bir tünel kurmasını ve, başarılı olması durumunda, tünel kapatılana kadar davranışını her iki yönde de verilerin körü körüne iletilmesiyle sınırlandırmasını talep eder.

Sonuç ise çoğu kişinin tam tersi olarak algıladığı bir durumdur. Bir HTTPS isteği sırasında proxy, hedef ana bilgisayar adını, bağlantı noktasını, zamanlamayı ve bayt sayılarını görür. Yolu, başlıkları, çerezleri veya yanıt gövdesini görmez: TLS, tünel üzerinden uçtan uca müzakere edilir ve proxy, anahtarı olmadığı şifreli metni iletir.

CONNECT example.org:443 HTTP/1.1
    Host: example.org

HTTP/1.1 407 Proxy Authentication Required
    Proxy-Authenticate: Basic realm="proxy"

CONNECT example.org:443 HTTP/1.1
    Host: example.org
    Proxy-Authorization: Basic dXNlcjEyMzpzM2NyZXQ=

HTTP/1.1 200 Connection Established
    <-- TLS handshake and everything after it is opaque to the proxy -->

3. Kimlik bilgileri kendi başlık çiftinde yer alır

Proxy kimlik doğrulaması, kaynak kimlik doğrulamasından kasıtlı olarak ayrılmıştır; çünkü bir ileti iki farklı tarafça sorgulanabilir ve istemcinin bunları birbirinden ayırt etmesi gerekir. Kimlik bilgilerini isteyen bir proxy, Proxy-Authenticate ile 407 Proxy Kimlik Doğrulaması Gerekiyor yanıtını verir ve istemci, Proxy-Authorization bilgisini taşıyarak yeniden dener; kimlik bilgilerini isteyen bir site ise WWW-Authenticate ile 401 yanıtını verir ve buna Authorization ile yanıt verilir. Durum kodu bir teşhis niteliğindedir: 407, proxy'nizin sizi reddettiği ve hedefin sizden hiçbir haber almadığı anlamına gelir; 401 ise proxy'nin görevini yerine getirdiğini, ancak hedefin erişimi reddettiği anlamına gelir.

Tüm bunlar HTTP mesaj katmanında gerçekleşir; bu sayfa da kasıtlı olarak bu noktada sona erer. Altta yatan fiziksel yolculuk — istemci, donanım, taşıyıcı, hedef — ise ayrı bir unsurdur ve adım adım şu şekilde çizilir: mobil proxy'ler nasıl çalışır?.

Aynı İstek, Üç Farklı Yöntem

Bu sorunun hangi yarısı sana ait?

“Proxy sunucusu nedir?” sorusu, dört farklı sorunla karşı karşıya olan en az dört farklı kişi tarafından sorulur ve bunlardan sadece bir kısmı aynı cevabı ister. Bu, şemadan aslında ihtiyacınız olan sayfaya giden en kısa yoldur.

İleri Proxy ve Ters Proxy Karşılaştırması

Bunlar, zıt yönlere çevrilmiş aynı mekanizmalardır ve topoloji, bunları birbirinden ayırt etmek için yetersiz bir yöntemdir — her ikisi de ortada yer alır, her ikisi de bir bağlantıyı sonlandırır ve başka bir bağlantı kurar. İşe yarar bir test ise bağlılıktır. Bu şeyi kimin kurduğunu ve kimin çıkarlarına hizmet ettiğini sorun; cevap hemen ortaya çıkar.

İleri yönlü bir proxy, istemci tarafından seçilir ve istemci adına çalışır: istemciyi hedef sunucudan gizler. Ters proxy — spesifikasyonun terminolojisinde bir ağ geçidi olarak adlandırılır — site operatörü tarafından seçilir ve site adına çalışır: kaynak sunucuları istemciden gizler. Siz onun kullanıcısı değilsiniz. Siz, sitenin korunduğu tarafsınız.

İşte bu nedenle, IP adresinizi değiştirmek amacıyla bir ters proxy satın alamazsınız; bu, destek ekibinin gelen kutularına sürekli olarak gelen bir taleptir. Nginx, HAProxy ve bir CDN uç sunucusu, hepsi sunucu için proxy görevi görür. Kendi sitenizin önüne bunlardan birini kurmak, ziyaretçilerin altyapınız hakkında edinebileceği bilgileri değiştirir; ancak ziyaret ettiğiniz bir web sitesinin sizin hakkınızda edinebileceği bilgilerde hiçbir değişiklik yapmaz.

Bu tablonun bir satırı ayrı bir cümleyi hak ediyor, çünkü bu makalenin iki yarısının birleştiği nokta tam da burası. Bir ileri proxy’yi sizin şahsen seçmeniz gerekmez — sadece istemci tarafında seçilmesi yeterlidir. Her iş istasyonunu bir çıkış proxy'si üzerinden yönlendiren bir şirket, klavye başında oturan hiç kimsenin tercih etmediği bir ileri proxy'yi devreye sokmuş olur; bunun bir hizmetten ziyade gözetim gibi algılanmasının nedeni, tam da bağlılık ile seçimin birbirinden kopmuş olmasıdır.

Şeffaf, Anonim ve Seçkin: Başlık Davranışları

Proxy listeleri, sanki donanım üzerine basılmış ürün sınıflarıymış gibi üç farklı anonimlik seviyesi sunuyor. Oysa bunlar öyle bir şey değil. Bunlar, mesajın hedefine ulaştığı anda iki başlık alanının neye benzediğini açıklayan tanımlardır ve bunları yaklaşık on saniye içinde ölçebilirsiniz.

İlk alan “Via”dır. RFC 9110’un 7.6.3 numaralı bölümü, bu alanın değerini, mesajın iletim sürecinde sırayla eklenen ve her biri farklı bir aracı tanımlayan bir veya daha fazla protokol ve alıcı tanımlayıcısı olarak tanımlamaktadır. Dolayısıyla, bu tanımlayıcının hedef noktasında bulunması, mesajın en az bir ara sunucudan geçtiğinin kanıtıdır — bu, bir sızıntı değil, tasarım gereği kendini tanıtan bir ara sunucudur.

İkinci alan, orijinal adresinizi içerir. Uzun süredir kullanılan geleneksel ad, X-Forwarded-For’dur; ancak Haziran 2014 tarihli bir Standartlar Yolu belgesi olan RFC 7239 — Forwarded HTTP Uzantısı — bu adı ve benzerlerini, for, by, host ve proto olmak üzere dört parametreyi içeren tek bir Forwarded alanıyla değiştirmiştir. Aynı belge, konunun önemine ilişkin alışılmadık derecede açık sözlüdür; istemci adresinin birçok kişi tarafından gizlilik açısından hassas kabul edildiğini ve by ile for parametreleri için varsayılan yapılandırmada gizlenmiş tanımlayıcıların kullanılması gerektiğini belirtir.

Transparent   Via: 1.1 proxy.example.net
              Forwarded: for=203.0.113.47      <-- your address, forwarded intact

Anonymous     Via: 1.1 proxy.example.net       <-- an intermediary, but not who
              (no Forwarded, no X-Forwarded-For)

Elite         (neither field present)          <-- nothing in the headers to see

Bu son yorum ciddiye alınmaya değer. Sınıflandırmalar standartlaştırılmadığından, “elit” ibaresi taşıyan bir liste, arkasında hiçbir dayanak bulunmaksızın başkasının yazılımı hakkında bir iddiada bulunuyor. Ancak bu iddia test edilebilir ve bunu test etmek dört adımdan oluşur:

PXM2 proxy denetleyicisi Bu test tam olarak sizin adınıza her iki protokol üzerinden gerçekleştirilir ve vaat edilen değerler yerine gelen değerleri raporlar.

Dört İş Görevlisinin Aslında Hangi Amaçlarla Görevlendirildikleri

Satıcı kategorilerini ve avantaj listelerini bir kenara bırakırsak, proxy’ler dört işlevi yerine getirmek üzere kullanılır. Her gerçek kurulum, bunların bir kombinasyonudur ve hangi kombinasyonun sizin için geçerli olduğu tamamen role bağlıdır — işte bu nedenle, bunları sunmanın en dürüst yolu, aralarından seçim yapabileceğiniz bir menü olarak değil, bunları gerçekleştirebilen rolle birlikte sunmaktır.

Bu listeyi baştan sona okumak, bu terim etrafındaki kafa karışıklığının büyük bir kısmını açıklıyor. Dört işlevden ikisi — önbellekleme ve yük dağıtımı — kimseyi gizlemekle hiçbir ilgisi yoktur; bu nedenle ağ mühendisleri ve IP adresi satın almak isteyen kişiler, sık sık konuşmanın ortasında, farklı makineler için aynı kelimeyi kullandıklarını fark ederler. Çoğu kişinin bu sayfaya gelip aradığı şey yalnızca dördüncü işlevdir ve burada önemli olan seçim, proxy değil, çıkış adresinin bulunduğu ağdır. Her PXM2 proxy’si, gerçek bir 4G veya 5G operatör bağlantısı üzerinden bu dördüncü görevi yerine getiren bir ileri yönlendirme proxy’sidir; eğer sorunuzun yarısı buysa, canlı proxy listesi bir sonraki adım budur ve mobil proxy nasıl kurulur İşte yapılandırma kılavuzu.

Bir Proxy Sunucusunun Ne Olmadığı

Kalan karışıklığın büyük bir kısmı dört düzeltmeden kaynaklanmaktadır ve her biri, bu teknolojinin komşu bir teknolojiyle karıştırılması durumudur.

• Proxy, şifreleme değildir. Basit bir HTTP proxy'si, isteğinizi şifrelenmemiş olarak iletir ve isteğin her bölümünü okuyup değiştirebilir. Bir HTTPS isteğinde gizlilik, tünel boyunca uçtan uca çalışan TLS'den kaynaklanır; bu da yol üzerinde hiç proxy olmasaydı da sizi aynı şekilde korurdu. Proxy'nin bu konuda hiçbir katkısı yoktur.
• Bir proxy, VPN değildir. Proxy, uygulama bazında yapılandırılır: Veri toplama aracınız bunu kullanır, e-posta istemciniz ise kullanmaz; her ikisi de farklı adresler üzerinden bağlantı kurar ve bu durumun hiçbirinde bir sorun yoktur. VPN ise işletim sistemi düzeyinde sanal bir ağ arayüzü oluşturur ve tüm verileri yakalar. Kapsam farklı, arıza türleri farklı, doğru çözümler de farklıdır. Karşılaştırmanın tamamı burada.
• Bir proxy, NAT değildir ve bir güvenlik duvarı da değildir. Bu ikisi de uygulama katmanının altında çalışır. Hiçbiri istek hedefini ayrıştırmaz, hiçbiri Host alanının ne olduğunu bilmez ve hiçbiri Via başlığı ekleyemez; çünkü hiçbiri HTTP’yi okumaz. Adresleri yeniden yazan bir yönlendirici, mesajlarınızı okuyan bir aracıdan yapısal olarak farklı bir işlem gerçekleştirir.
• Vekalet, anonimlik anlamına gelmez. Bu, hedef sunucunun kayıt tuttuğu adresi değiştirir. Ancak, istemcinizin gönderdiği çerezler, TLS yığınınızın sunduğu parmak izi ya da otuz saniye sonra oturum açacağınız hesap konusunda hiçbir şeyi değiştirmez. Diğer tüm özellikleri değişmemiş bir istemcide yapılan adres değişimi, bir ad değiştirmedir; kılık değiştirme değildir.

Bunların hiçbiri proxy’leri zayıf kılmaz. Aksine, onları spesifik kılar. Proxy, bağlantınızı sonlandırıp kendi bağlantısını kuran bir aracıdır; kimin onu seçtiğini ve hangi alanları yeniden yazdığını öğrendiğinizde, terimin kendisinin size verebileceği tüm bilgileri öğrenmiş olursunuz — geri kalanı ise karşı tarafın hangi ağda bulunduğu ile ilgili bir sorudur.

Gerçek Mobil Proxy'leri Keşfedin

Temiz bir mobil operatör adresine sahip bir ileri yönlendirme proxy’sine mi ihtiyacınız var? PXM2, özel 4G/5G modemler kullanır:

Sık Sorulan Sorular

İlgili Kılavuzlar

Vekil sunucularının temel kavramları

Temel mobil proxy kılavuzları