VPN ve proxy arasındaki farklar: katmanlar, şifreleme ve DNS

Önce açık bir not: VPNPROXY bir VPN hizmeti satmaz; bu sitede tanıtılan sekiz ürünün hepsi proxy’dir. Kısa cevap şudur: VPN, cihazınızda sanal bir ağ arayüzü oluşturup işletim sisteminin trafiğini (genellikle tamamını) şifreli bir tünelle uzak bir sunucuya taşır; proxy ise yalnız kendisine yönlendirilen uygulamanın bağlantılarını uygulama düzeyinde hedefe iletir.

Bu fark küçük bir ayrıntı değildir: neyin şifrelendiğini, kimin neyi gördüğünü, DNS sorgularının nereye gittiğini ve hangi uygulamaların kapsanıp hangilerinin dışarıda kaldığını belirler. Kendi durumunuz için hızlı bir karar arıyorsanız VPN ve proxy farkı rehberi sizi sorularla yönlendirir; bu yazı ise arkasındaki mekanizmayı katman katman anlatır.

İki farklı katman, iki farklı yaklaşım

Bir VPN istemcisi işletim sistemine sanal bir ağ arayüzü ekler (Linux’taki tun ya da tap aygıtları gibi). Yönlendirme tablosu trafiği bu arayüze gönderdiğinde istemci IP paketlerini (tap kipinde Ethernet çerçevelerini) şifreler, başka bir paketin içine yerleştirir ve VPN sunucusuna yollar. Sunucu paketi açar ve kendi ağından internete çıkarır. Bu yüzden VPN ağ katmanında (L3), bazı kurulumlarda bağlantı katmanında (L2) çalışır ve uygulamaların haberi olmadan onların trafiğini de kapsar.

Proxy’de ise uygulama bağlantısını doğrudan hedefe değil proxy sunucusuna açar ve ondan “benim adıma şu adrese bağlan” ister. HTTP proxy bu isteği HTTP diliyle yapar (uygulama katmanı, L7). HTTPS bir siteye giderken istemci CONNECT ornek.com:443 gönderir; proxy bir TCP tüneli açar ve baytları yorumlamadan aktarır (RFC 9110 (yeni sekmede açılır), CONNECT yöntemi). SOCKS5 uygulama ile taşıma katmanı arasında, genellikle oturum katmanı (L5) olarak anılan yerde durur: hedef adresi ve portu kendi ikili biçimiyle bildirir, ardından TCP akışını ve destekleniyorsa UDP’yi aktarır (RFC 1928 (yeni sekmede açılır)).

Neyin, nerede şifrelendiği

En sık karışan nokta budur. Bağlantıyı üç parçaya ayırarak düşünün: cihazınız → aracı sunucu (VPN ya da proxy) → hedef site.

• VPN: Cihaz ile VPN sunucusu arasındaki parça tünel protokolü tarafından şifrelenir. VPN sunucusundan hedefe giden parçayı VPN şifrelemez; orada trafik, uygulama ne kullanıyorsa (HTTPS, düz HTTP, DNS) öyle gider.
• HTTP ve SOCKS5 proxy: Bu protokoller kendi başına şifreleme eklemez. Cihaz ile proxy arasındaki parçada uygulamanın gönderdiği veri olduğu gibi gider: düz HTTP açık metin olarak, HTTPS ise TLS ile şifreli olarak.
• TLS’li proxy bağlantısı (HTTPS proxy): İstemci proxy’ye TLS ile bağlanırsa cihaz ile proxy arasındaki parça ayrıca korunur. Bu, proxy’nin kendisinin trafiği görmesini engellemez.
• HTTPS: Tarayıcı ile hedef site arasında TLS uçtan uca çalışır; arada VPN olsun, proxy olsun ya da hiçbiri olmasın bu değişmez (RFC 8446 (yeni sekmede açılır)).

Kim neyi görür?

Aşağıdaki tablo, HTTPS kullanan bir siteye bağlandığınız varsayımıyla tarafların tipik olarak gördüklerini özetler. Düz HTTP’de proxy ve yol üzerindekiler isteğin içeriğini de görür.

İki not daha: düz HTTP proxy’de ve SOCKS5’te kullanıcı adı ile parola da şifresiz taşınır. HTTP Basic kimlik doğrulaması yalnızca Base64 kodlamasıdır; SOCKS5’in kullanıcı adı/parola yöntemi (RFC 1929 (yeni sekmede açılır)) parolayı açık metin gönderir. SNI’yi gizleyen Encrypted Client Hello (ECH) gibi uzantılar vardır, ancak her istemcide ve her sitede etkin değildir.

Tablonun son satırı önemlidir: ne VPN ne proxy sizi “anonim” yapar. Hedef site IP adresiniz yerine aracının adresini görür, ama hesabınızı, çerezlerinizi ve tarayıcınızın bıraktığı izleri görmeye devam eder.

DNS: sorgular nereye gidiyor?

Bir adrese bağlanmadan önce ana bilgisayar adının IP’ye çözülmesi gerekir ve bu sorgu bağlantının kendisinden farklı bir yoldan gidebilir.

• VPN’de istemci genellikle tünel içinden erişilen bir DNS sunucusu ayarlar. Yapılandırma eksikse işletim sistemi sorguları yine yerel ağın DNS sunucusuna gönderebilir; buna DNS sızıntısı denir.
• HTTP proxy’de istemci ana bilgisayar adını isteğin içinde (ör. CONNECT ornek.com:443) proxy’ye iletir ve adı proxy çözer.
• SOCKS5’te iki seçenek vardır: istemci adı kendisi çözüp proxy’ye IP gönderebilir ya da adı çözümlemesi için proxy’ye bırakabilir. curl gibi araçlarda socks5:// yerel çözümlemeyi, socks5h:// proxy tarafında çözümlemeyi ifade eder.
• Proxy ayarı olmayan uygulamalar her zamanki DNS sunucusunu kullanmaya devam eder.

Ayrıntı ve test yöntemi için DNS sızıntısı nedir yazısına bakabilir, bir alan adının kayıtlarını DNS Sorgulama aracıyla inceleyebilirsiniz.

Tam tünel, split tunneling ve uygulama bazlı proxy

Çoğu VPN kurulumu varsayılan olarak tam tünel çalışır: varsayılan rota tünele işaret eder ve cihazın tüm trafiği oradan geçer. Split tunneling ise yalnız belirli ağları ya da uygulamaları tünele sokar, gerisini doğrudan çıkarır; şirket ağına erişirken genel internet trafiğini yerelde bırakmak için sık kullanılır.

Proxy doğası gereği “bölünmüş” çalışır: yalnız proxy ayarı yapılmış uygulama, hatta o uygulamanın içinde yalnız seçtiğiniz bağlantılar proxy’den geçer. Bu bir esneklik sağlar (bir tarayıcı profilini başka bir çıkış IP’siyle, diğerini doğrudan çalıştırabilirsiniz) ama aynı zamanda bir sınırdır: proxy’yi tanımayan bir uygulama trafiğini olduğu gibi gönderir. Yaygın HTTP proxy’ler, CONNECT tünelleri dahil, yalnız TCP bağlantılarını taşır; UDP kullanan trafik onlardan geçmez. SOCKS5 UDP için UDP ASSOCIATE komutunu tanımlar, ancak çalışması için hem istemcinin hem sunucunun bunu desteklemesi gerekir.

Tipik protokoller

IPsec mimarisinin standart tanımı RFC 4301 (yeni sekmede açılır) belgesindedir. Bu sitedeki ürünlerin hangi proxy protokolüyle verildiği ürün sayfalarında ayrı ayrı yazılıdır; örneğin HTTP & SOCKS5 Proxy sayfası, Türkiye paketlerinde sipariş sırasında yapılan HTTP veya SOCKS5 seçimini anlatır.

Yaygın yanılgılar

• “Proxy trafiği şifreler.” HTTP ve SOCKS5 şifreleme eklemez; şifreleme, uygulamanın kullandığı TLS’ten gelir.
• “HTTPS sitede proxy her şeyi okur.” Okumaz. Cihazınıza proxy’nin kök sertifikasını yüklemediğiniz sürece proxy hedef adı, portu ve trafik hacmini görür, içeriği göremez. Proxy üzerinden sertifika uyarısı alıyorsanız bağlantıyı sürdürmeyin.
• “VPN beni anonim yapar.” VPN, IP adresinizi hedeften gizler; ama VPN sağlayıcısı trafiğinizin meta verisini görür, hesaplarınız ve çerezleriniz de sizi tanımlamaya devam eder.
• “Proxy kurdum, artık bütün bilgisayar proxy’den çıkıyor.” Yalnız proxy ayarını okuyan uygulamalar çıkar. Tarayıcıda IP Sorgulama aracıyla, diğer uygulamalarda ayrı bir istekle doğrulayın.
• “İkisi aynı anda kullanılamaz.” Kullanılabilir: VPN açıkken bir uygulama ayrıca proxy’ye bağlanabilir. Bu durumda proxy’ye giden bağlantı da VPN tünelinden geçer, hedef site proxy’nin IP’sini görür.

Ne zaman, hangisi?

• Cihazın tüm trafiğini güvenilmeyen bir ağda korumak (otel ya da kafe Wi-Fi’si): VPN. Proxy, ayarı olmayan uygulamaları ve onların DNS sorgularını kapsamaz.
• Şirketin iç ağına erişmek: şirketinizin sağladığı VPN.
• Belirli bir uygulamanın ya da betiğin çıkış IP’sini seçmek: proxy. Her iş için ayrı adres, ayrı lokasyon ya da dönen bir havuz kullanılabilir.
• Bir sayfanın başka bir ülkeden nasıl göründüğünü test etmek: ikisi de olur; proxy, farklı lokasyonları aynı anda farklı uygulamalarda denemeyi kolaylaştırır.
• Sabit bir çıkış IP’siyle bir iş ortağının izin listesine girmek: statik bir proxy ya da statik çıkışlı bir VPN.

Senaryoların ayrıntılı karşılaştırması VPN mi proxy mi: hangi senaryoda hangisi yazısında yer alır.

VPN, işletim sistemi düzeyinde çalışan ve cihaz ile VPN sunucusu arasını şifreleyen bir tüneldir. Proxy, uygulama düzeyinde çalışan bir aracıdır; kendi başına şifreleme eklemez, ama hangi uygulamanın hangi çıkış IP’sini kullanacağını ayrı ayrı belirlemenizi sağlar. Sorununuz ağ güvenliğiyse VPN’e, çıkış adresi ve lokasyon seçimiyse proxy’ye bakın; HTTPS her iki durumda da içeriğinizi korumaya devam eder. Proxy türleri arasındaki farklar için proxy türleri karşılaştırması yazısıyla devam edebilirsiniz.