Proxy sunucusu nedir ve bir istek proxy’den nasıl geçer?

Proxy sunucusu, istemci ile hedef sunucu arasında duran ve bağlantıyı istemcinin adına kuran bir aracıdır. Uygulamanız isteğini doğrudan hedefe değil proxy’ye gönderir, proxy hedefe bağlanır ve yanıtı geri aktarır; hedef sunucu bağlantıyı proxy’nin IP adresinden gelmiş olarak görür.

Tanım basittir, ama “aracı” kelimesi birçok farklı şeyi kapsar: bir şirket ağının çıkış kapısı, bir web sitesinin önündeki yük dengeleyici, bir geliştiricinin test betiğinde kullandığı çıkış IP’si. Bu yazı en yaygın kullanımı, yani istemci tarafında yapılandırılan proxy’yi (forward proxy) anlatır. Bu tür bir proxy’yi tarayıcının ağ ayarına, işletim sisteminin proxy ayarına ya da doğrudan bir uygulamanın veya betiğin bağlantı seçeneklerine tanımlarsınız; tanımı okumayan uygulamalar ise eskisi gibi doğrudan bağlanır.

Bir istek proxy’den nasıl geçer?

HTTPS bir sayfayı HTTP proxy üzerinden açtığınızı düşünün. Akış şu adımlardan oluşur:

1. Uygulamaya proxy’nin adresi ve portu verilir (ör. PROXY_ADRESI:PORT). Uygulama artık bağlantılarını hedefe değil bu adrese açar.
2. Uygulama proxy’ye bir TCP bağlantısı açar ve CONNECT ornek.com:443 HTTP/1.1 isteğini gönderir. Kimlik doğrulama gerekiyorsa isteğe Proxy-Authorization başlığı eklenir.
3. Proxy kimlik bilgisini doğrular. Bilgi eksik ya da hatalıysa 407 Proxy Authentication Required yanıtını döner.
4. Proxy ornek.com adını çözer, 443 numaralı porta kendi adresinden bağlanır ve istemciye 200 ile tünelin açıldığını bildirir.
5. Bundan sonra proxy yalnız bayt aktarır: tarayıcı ile ornek.com arasındaki TLS el sıkışması ve şifreli trafik tünelin içinden geçer. Proxy içeriği değil, hedefin adını ve trafik hacmini görür.

Düz HTTP bir adres istendiğinde tünel kurulmaz: istemci isteği tam adresle (GET http://ornek.com/sayfa HTTP/1.1) proxy’ye yollar, proxy isteği hedefe iletir ve yanıtı geri getirir. Bu durumda proxy isteğin ve yanıtın tamamını okuyabilir. CONNECT yöntemi RFC 9110 (yeni sekmede açılır) içinde, proxy’ye gönderilen tam adresli istek biçimi (absolute-form) ise RFC 9112 (yeni sekmede açılır) içinde tanımlanır.

SOCKS5 akışı: daha alt düzeyde bir aracı

SOCKS5 HTTP’yi bilmez; herhangi bir TCP bağlantısını aktarır. İstemci önce desteklediği kimlik doğrulama yöntemlerini bildirir (00 kimlik doğrulamasız, 02 kullanıcı adı/parola), sunucu birini seçer, ardından istemci CONNECT komutuyla hedefi IPv4 adresi, alan adı ya da IPv6 adresi olarak iletir (RFC 1928 (yeni sekmede açılır)). Kullanıcı adı/parola alt müzakeresi ayrı bir belgede tanımlanır (RFC 1929 (yeni sekmede açılır)) ve bilgileri şifrelemeden gönderir.

Protokoller arasındaki ayrıntılı farklar için HTTP ve SOCKS5 karşılaştırması ve SOCKS5 proxy nedir yazılarına bakabilirsiniz.

Proxy adresi nasıl yazılır?

Çoğu araç proxy’yi bir URL biçiminde kabul eder. Şema kısmı, istemcinin proxy ile hangi dilde konuşacağını belirler:

Bir proxy’nin çalışıp çalışmadığını görmenin en kısa yolu, çıkış IP’sini döndüren bir adrese istek atmaktır. Aşağıdaki komutlar curl ile önce HTTP, sonra SOCKS5 proxy üzerinden istek gönderir; yanıtta sizin değil proxy’nin IP adresi görünmelidir (curl kılavuzu (yeni sekmede açılır)).

# HTTP proxy
curl -x http://PROXY_ADRESI:PORT -U KULLANICI:PAROLA "https://api.ipify.org?format=json"

# SOCKS5 proxy, alan adı proxy tarafında çözülür
curl -x socks5h://PROXY_ADRESI:PORT -U KULLANICI:PAROLA "https://api.ipify.org?format=json"

Aynı kontrolü komut satırı olmadan yapmak için Proxy Kontrol aracını, kendi bağlantınızın IP’sini görmek için IP Sorgulama aracını kullanabilirsiniz.

Proxy’ler nasıl sınıflandırılır?

“Proxy türü” denince birbirinden bağımsız dört eksen karışır. Bir proxy’yi tanımlarken her birine ayrı cevap vermek gerekir:

• Yön: istemci adına mı (forward), sunucu adına mı (reverse) çalışıyor? Ayrıntı: forward ve reverse proxy farkı.
• Protokol: HTTP, TLS’li HTTP bağlantısı ya da SOCKS5.
• IP kaynağı: adres bir veri merkezine mi, bir ev internet sağlayıcısına mı, bir mobil operatöre mi kayıtlı? Ayrıntı: proxy türleri karşılaştırması.
• Davranış: adres sabit mi kalıyor, her oturumda ya da belirli aralıklarla mı değişiyor? Ayrıntı: rotating ve sticky oturum farkı.

Bir de istemcinin hiç yapılandırmadığı, ağ geçidinde trafiği araya giren “şeffaf” (transparent ya da intercepting) proxy’ler vardır. Kurumsal ağlarda ve bazı erişim noktalarında kullanılırlar; istemci açısından seçilen bir hizmet değil, ağın bir özelliğidir.

Kimlik doğrulama: kim kullanabilir?

Herkese açık bir proxy kötüye kullanılmaya açıktır; bu yüzden ticari proxy’ler kimin bağlanabileceğini sınırlar. İki yaygın yöntem vardır: her bağlantıda kullanıcı adı ve parola göndermek ya da yalnız önceden bildirilen IP adreslerinden gelen bağlantıları kabul etmek (IP beyaz liste). Hangisinin ne zaman uygun olduğu proxy kimlik doğrulama yazısında anlatılır.

Proxy ne yapar, ne yapmaz?

Bağlantı kurulamazsa: tipik yanıtlar

Proxy bağlantısı başarısız olduğunda dönen yanıt, sorunun hangi aşamada olduğunu söyler. HTTP proxy’ler HTTP durum kodlarıyla, SOCKS5 sunucuları ise kendi yanıt kodlarıyla cevap verir:

SOCKS5’te kullanıcı adı/parola reddedilirse sunucu sıfırdan farklı bir durum kodu döner ve RFC 1929 gereği bağlantıyı kapatır; istemci bunu çoğu zaman yalnız “bağlantı kapandı” olarak gösterir. Böyle bir durumda kimlik bilgisini ayrıca SOCKS5 Kontrol aracında denemek, sorunun proxy’de mi istemcide mi olduğunu ayırmayı kolaylaştırır.

Özet

Proxy sunucusu, bağlantıyı sizin adınıza kuran ve hedefe kendi IP adresini gösteren bir aracıdır. HTTP proxy HTTPS hedefler için CONNECT ile bir tünel açar ve içeriği göremez; SOCKS5 herhangi bir TCP bağlantısını aktarır ve adres çözümlemesini isteğe göre proxy’ye bırakır. Bir proxy seçerken yönünü, protokolünü, IP kaynağını ve davranışını ayrı ayrı sorun. Bu eksenlerin ürünlere nasıl karşılık geldiğini HTTP & SOCKS5 Proxy ve Datacenter Proxy sayfalarında görebilirsiniz.