9GAG Proxy: Engelin Katmanını Bulmak ve Doğru Protokolü Seçmek

CONNECT tüneli ile SOCKS5 el sıkışması aynı şey değildir

HTTP proxy ile şifreli bir siteye bağlanırken istemci önce düz metin bir CONNECT hedef:443 HTTP/1.1 satırı gönderir. Proxy hedefe TCP bağlantısı açar, başarılıysa 200 Connection Established döner ve o andan itibaren iki taraf arasındaki baytları olduğu gibi taşır. Yöntemin ayrıntısı HTTP CONNECT metodu yazısında.

SOCKS5 ise HTTP semantiği taşımaz. Önce sürüm ve kimlik doğrulama yöntemi üzerinde anlaşılır, sonra ikili biçimde bir istek gönderilir: sürüm baytı, komut baytı, adres türü ve hedef adres ile port. Adres türü alanı sayesinde hedefi alan adı olarak da gönderebilirsiniz; bu durumda çözümü proxy yapar. İki protokolün karşılaştırması için HTTP proxy ile SOCKS5 farkı yazısına bakın.

Pratik fark UDP’de ortaya çıkar. SOCKS5, UDP ASSOCIATE komutuyla UDP taşımayı destekleyebilir; HTTP proxy bunu yapmaz. Tarayıcılar HTTP/3’ü QUIC üzerinden, yani UDP ile taşır; proxy bu trafiği taşımadığında istemci genellikle TCP üzerindeki HTTP/2’ye geri düşer ve akış çalışmaya devam eder. Konunun ayrıntısı SOCKS5 UDP desteği yazısında.

Kimlik doğrulama tarafında da iki protokol ayrışır. HTTP proxy, istemcinin Proxy-Authorization başlığını göndermesini bekler ve eksikse 407 döner. SOCKS5’te ise kimlik doğrulama bağlantının ilk anında, yöntem anlaşması aşamasında yapılır; başarısız olursa bağlantı hiç kurulmaz ve ortada bir HTTP durum kodu bulunmaz. Bu yüzden SOCKS5 hataları daha sessizdir ve teşhisi biraz daha zordur.

Adresin hangi ağa ait olduğu neden fark eder?

Her genel IP adresi bir otonom sisteme (ASN) aittir ve bu bilgi herkese açıktır. Karşı taraf, isteğin bir veri merkezinden mi, bir ev abonesinden mi yoksa bir mobil operatörden mi geldiğini bu kayda bakarak sınıflandırabilir. Sınıflandırma tek başına bir karar üretmez; davranış değerlendirmesine giren girdilerden biridir. Konunun çerçevesi ASN ve IP itibarı yazısında.

CGNAT, operatörün tek bir genel adresi çok sayıda aboneye paylaştırdığı yapıdır; bu nedenle mobil ağlarda aynı adres arkasında çok sayıda farklı oturum görmek olağandır. Ayrıntısı CGNAT nedir yazısında ele alınıyor. Bir başka ölçüt havuzun blok çeşitliliğidir: tüm adresleriniz dar bir bloktan geliyorsa o blokla ilgili her değerlendirme hepsini birden etkiler. Yüzlerce adres saymak bu durumda yanıltıcıdır, çünkü pratikte hepsi tek bir adresin taşıdığı geçmişi paylaşır.

Sınıflandırmanın pratik sonucu abartılmamalıdır. Karşı taraf adresin nereye ait olduğunu görür, kim olduğunuzu görmez; kararlar davranış, oturum bütünlüğü ve istek deseni gibi başka girdilerle birlikte üretilir. Yani adres sınıfını değiştirmek tek başına bir sonucu garanti etmez, yalnızca girdilerden birini değiştirir.

Kurumsal ağda engellemek yerine yönetmek

Ağ yöneticisi tarafında konu erişimi kesmek değil, çıkış trafiğini görünür ve yönetilebilir kılmaktır. İleri yönlü bir proxy, iç ağdaki istemcilerin dışarıya çıkışını tek noktadan toplar; bu noktada kural yazmak, kota uygulamak ve raporlamak mümkün olur. İki yönü karıştırmamak gerekir: ileri yönlü proxy iç ağdaki istemcilerin dışarıya çıkışını yönetir, ters proxy ise dışarıdan gelen isteklerin arkadaki sunuculara dağıtımını üstlenir ve bu sayfadaki senaryoların hiçbirinde işin içinde değildir.

Kullanıcı tarafında hiçbir ayar yapılmadan çalışan kurulumlar da vardır: trafiği ağ seviyesinde yakalayan transparan yapılarda istemciye proxy adresi hiç girilmez, yönlendirme ağ ekipmanında yapılır. Bu modelde kullanıcı proxy’nin varlığını fark etmez, bu yüzden bilgilendirme ve politika metni ayrıca önem kazanır. Şifreli trafiğin içeriği yine görünmez; görünen şey hangi ana bilgisayara bağlanıldığı ve ne kadar bayt taşındığıdır.

Üçüncü başlık kayıt tutmadır. Hangi verinin, ne kadar süre ve hangi amaçla tutulduğu hem gizlilik hem de mevzuat açısından tanımlı olmalıdır. Kaydın kapsamı da sanıldığından dardır: şifreli trafikte tutulabilen şey bağlantı üstverisidir — hangi ana bilgisayara, ne zaman ve ne kadar bayt. Sayfa adresleri ve gönderi içerikleri bu kayıtlara düşmez, dolayısıyla politika metnini olduğundan geniş yazmak hem yanlış hem de gereksiz bir taahhüt üretir.

Bazı kurumsal kurulumlarda çıkış proxy’si TLS oturumunu sonlandırıp yeniden kurar. Bu modelde cihazlara kurum tarafından üretilmiş bir kök sertifika yüklenir ve proxy trafiği düz metin olarak işleyebilir. Teknik olarak mümkündür ve bazı düzenlemelerde talep edilir; ancak çalışanların bundan haberdar olması gerekir ve sertifika sabitleme kullanan uygulamalar böyle bir kurulumda bağlantıyı reddeder. Bu sayfada anlatılan ileri yönlü proxy senaryosunda böyle bir müdahale yoktur: CONNECT tüneli açılır ve baytlar olduğu gibi taşınır.

Hata kodları ve karşılıkları

Aşağıdaki tablo, gördüğünüz kodun hangi katmandan geldiğini ve ne anlattığını eşliyor. Kodun kaynağını bilmek, yanlış yerde çözüm aramayı engeller.

İlk satır en sık görülenidir ve neredeyse her zaman yapılandırma kaynaklıdır. Erişim bilgisini istemciye nasıl vereceğiniz protokole göre değişir; SOCKS5 tarafındaki yöntem anlaşması için SOCKS5 kimlik doğrulama yazısı ayrıntı veriyor.

Port seçimi de sessiz bir hata kaynağıdır. Aynı sağlayıcıda HTTP ve SOCKS5 farklı portlardan yayınlanır; SOCKS5 portuna HTTP proxy olarak bağlanmaya çalışan bir istemci genellikle anlaşılmaz bir bağlantı hatası verir. Port numarası tek başına protokolü belirlemez; hangi portun hangi protokole ayrıldığını paneldeki erişim bilgilerinden teyit edin ve istemcide protokol alanını buna göre seçin.

Beklenti yönetimi ve kurallara uyum

Proxy bir yol değiştirme aracıdır, hızlandırıcı değildir. Trafik ek bir durak üzerinden geçtiği için toplam gecikme genellikle artar; içerik akışında bunu takılmalar hâlinde görürsünüz. Bu nedenle akıcılık sorunlarını çözmek için proxy eklemek çoğu zaman ters etki yapar.

Kullanım tarafında sınır nettir: bu sayfa erişim, gizlilik, kurumsal ağ yönetimi ve bölgesel doğrulama senaryoları içindir. Otomatik oy, sahte etkileşim, toplu hesap oluşturma veya platformun güvenlik önlemlerine müdahale konularını kapsamaz; hizmet şartlarına uyum kullanıcının sorumluluğundadır.

Kaynak seçimi de beklentiyi belirler. Kısa testler için ücretsiz proxy seçenekleri fikir verir, ancak sunucuyu kimin işlettiği bilinmediği ve bağlantılar sık düştüğü için oturum açılan hiçbir işte önerilmez. Süreklilik gerektiren kullanımda kimlik doğrulamalı bir çıkış tercih edin ve tek bir katmanla çalışın: VPN ile proxy’yi aynı anda açık tutmak teşhisi gereksiz yere zorlaştırır.