Proxy Nedir? Proxy Sunucu Ne İşe Yarar?

Proxy nedir, proxy sunucu ne işe yarar?

Proxy, bilgisayarınız ile internet üzerindeki hedef sunucu arasında duran ve istekleri sizin adınıza ileten aracı sunucudur. Hedef site bağlantıyı doğrudan cihazınızdan değil, proxy’nin IP adresinden görür. Bu yapı erişim kontrolü, önbellekleme, kayıt tutma, trafik filtreleme ve bazı durumlarda gizlilik için kullanılabilir. Proxy tek başına anonimlik veya güvenlik garantisi vermez.

İlk bakışta proxy’yi yalnızca “IP adresini değiştiren servis” sanmak kolay. Ben de işe yeni başladığım yıllarda konuyu böyle düşünüyordum. Bir VPS üzerindeki uygulamanın dış API’ye neden erişemediğini araştırırken sorunun uygulamada değil, çıkış trafiğini zorunlu proxy üzerinden geçiren ağ kuralında olduğunu gördüm. Proxy’nin ne yaptığını anlamadan yalnızca adresi değiştirmek, arızayı başka bir katmana taşımaktan ibaret.

Proxy sunucu nasıl çalışır?

Normal bir web isteğinde tarayıcınız hedef alan adını çözer, hedef sunucuyla bağlantı kurar ve HTTP isteğini doğrudan gönderir. Proxy kullanıldığında akış değişir:

1. İstemci proxy sunucusuna bağlanır.
2. Proxy, istenen hedefe kendi bağlantısını açar.
3. Hedef sunucudan gelen yanıtı istemciye iletir.

Örneğin tarayıcınız example.com adresine doğrudan bağlanmak yerine proxy.example.net:8080 adresine bağlanıyorsa, HTTP proxy isteğin hedefini görür ve sizin için bağlantıyı kurar. Hedef sunucu çoğu durumda istemcinin genel IP adresi yerine proxy’nin IP adresini görür.

Buradaki “çoğu durumda” ifadesi önemli. Proxy, HTTP başlıklarına X-Forwarded-For, Forwarded veya benzeri alanlar ekleyebilir. Proxy yöneticisi bu başlıklarla istemcinin gerçek IP adresini hedefe bildirebilir. Proxy sağlayıcısı bağlantı kayıtlarını da tutuyor olabilir. Bir IP’nin görünmemesi, kimliğin bütün katmanlarda gizlendiği anlamına gelmez.

İstek hangi katmanda yönlendirilir?

HTTP proxy’ler uygulama katmanında çalışır ve HTTP ile HTTPS isteklerini anlayabilir. HTTPS için istemci çoğunlukla proxy’ye CONNECT isteği gönderir; proxy de hedef sunucuya bir TCP tüneli açar. TLS şifrelemesi istemci ile hedef arasında devam ediyorsa proxy içeriği okuyamaz, yalnızca bağlantının kurulmasına aracılık eder.

TLS sonlandıran kurumsal bir proxy ise şifreli trafiği açıp inceleyebilir. Bu yapıda istemcilere kurumun sertifika otoritesi yüklenir. Sertifika doğrulaması doğru kurulmazsa tarayıcı uyarıları görülür. Daha kötüsü, kullanıcılar bu uyarıları alışkanlıkla geçmeye başlayabilir.

Proxy türleri nelerdir?

“Proxy” tek bir teknoloji adı değildir. Kullanım biçimine ve trafiğin hangi yönde aktığına göre farklı türlerden söz ederiz.

Forward proxy

Forward proxy, istemcilerin dış dünyaya çıkışını temsil eder. Şirket ağlarında çalışanların internet erişimini filtrelemek, izin verilen alan adlarını sınırlamak, bant genişliği kullanımını izlemek veya sık istenen dosyaları önbelleğe almak için kullanılır. İstemciler proxy ayarını bilir ve isteklerini buraya gönderir.

Reverse proxy

Reverse proxy, sunucuların önünde durur. Ziyaretçi reverse proxy’ye bağlanır; proxy isteği arka uçtaki uygulamaya iletir. Nginx, HAProxy, Traefik ve Caddy bu amaçla sık kullanılır.

Bir VPS üzerinde web uygulamanızın önüne Nginx koyduğunuzda TLS sonlandırma, alan adına göre yönlendirme, statik dosya sunma ve temel hız sınırlama işlerini uygulama sunucusundan ayırabilirsiniz. Bu yapı, VPS Nedir, Ne İşe Yarar? Başlangıç Seviyesi Detaylı Rehber içinde anlatılan kaynak planlamasıyla doğrudan ilişkilidir; reverse proxy için RAM, bağlantı sayısı ve ağ kapasitesini hesaba katmak gerekir.

HTTP ve HTTPS proxy

HTTP proxy, HTTP isteklerini yorumlayabilir. HTTPS isteklerinde ise çoğu zaman CONNECT yöntemiyle şifreli tünel açar. Proxy’nin HTTPS adresini desteklemesi, proxy ile hedef arasındaki tüm veriyi okuyabildiği anlamına gelmez.

SOCKS4 ve SOCKS5 proxy

SOCKS, belirli bir uygulama protokolüne bağlı kalmadan TCP bağlantılarını, SOCKS5 ile birlikte UDP trafiğini de yönlendirebilir. SSH tüneli kurarken kullanılan ssh -D seçeneği, yerel makinede SOCKS5 benzeri bir dinleme noktası oluşturur:

ssh -N -D 127.0.0.1:1080 kullanici@sunucu.example.com

Bu komut uzak sunucuda bir web proxy servisi kurmaz; sizin bilgisayarınızda SOCKS trafiğini SSH tünelinden geçirecek yerel bir port açar. -N uzak tarafta komut çalıştırmaz, -D ise dinamik port yönlendirmesini etkinleştirir.

Ardından SOCKS5 destekleyen bir araçla bağlantıyı test edebilirsiniz:

curl --proxy socks5h://127.0.0.1:1080 https://ifconfig.me

Buradaki socks5h kullanımında DNS çözümlemesi de proxy üzerinden yapılır. Yalnızca socks5 kullanılırsa bazı araçlarda DNS sorgusu yerel makineden çıkabilir. Bu küçük ayrıntı, “IP değişti ama DNS isteğim neden yerelden görünüyor?” sorusunun sık nedenlerinden biridir.

Şeffaf proxy

Şeffaf proxy, istemcinin ayrıca proxy ayarı yapmasını gerektirmeden trafiği yakalar. Kurumsal ağlarda, internet servis sağlayıcılarının altyapısında veya güvenlik cihazlarında görülebilir. Kullanıcı HTTP isteğinin proxy’den geçtiğini fark etmeyebilir. HTTPS trafiğinde şeffaf yönlendirme yalnızca tünelleme yapıyorsa içeriği okuyamaz; TLS incelemesi için ayrıca sertifika ve politika yapılandırması gerekir.

Proxy hangi amaçlarla kullanılır?

• Erişim kontrolü: Belirli alan adlarını, URL yollarını veya içerik kategorilerini engellemek.
• Reverse proxy ve yük dağıtımı: İstekleri birden fazla uygulama sunucusuna yönlendirmek.
• Önbellekleme: Değişmeyen statik içerikleri tekrar tekrar arka uçtan almamak.
• IP politikaları: Hedef servisin yalnızca izin verilen çıkış IP’lerinden gelen bağlantıları kabul etmesini sağlamak.
• Gözlem ve kayıt: Hangi istemcinin hangi hedefe ne zaman bağlandığını denetlemek.
• Güvenlik katmanı: Uygulama sunucusunu doğrudan internete açmak yerine ön tarafta filtreleme yapmak.
• İç servisleri yayınlama: Yerel ağdaki uygulamaları alan adı ve TLS ile dışarı sunmak.

Proxy’nin kullanım amacı, güvenlik değerlendirmesini değiştirir. Bir reverse proxy web uygulamasını doğrudan internete açmaktan daha düzenli bir mimari sağlayabilir; yine de uygulamadaki kimlik doğrulama açığını kapatmaz. Bir forward proxy de zararlı içeriği kendiliğinden güvenli hâle getirmez.

Proxy ile VPN arasındaki fark nedir?

Proxy çoğunlukla belirli bir uygulamanın veya protokolün trafiğini yönlendirir. VPN ise işletim sistemi seviyesinde bir tünel kurarak daha geniş bir trafik kümesini taşıyabilir. Ayrıntı kullanılan yazılıma göre değişir. SOCKS proxy’yi desteklemeyen bir uygulama proxy’den yararlanamaz; sistem seviyesinde çalışan VPN istemcisi ise genellikle uygulama seçmez.

VPN şifreli olduğu için otomatik olarak anonim değildir. VPN sağlayıcısı bağlantı metadatasını görebilir; proxy işletmecisi de kendi üzerinden geçen trafiği kaydedebilir. Güven modelini anlamadan yalnızca “hangisi daha güvenli?” diye sormak eksik kalır.

Linux’ta proxy nasıl test edilir?

Önce bağlantının proxy üzerinden geçip geçmediğini doğrulamak gerekir. Ben bu tür kontrollerde tarayıcı ayarına güvenmek yerine terminalden küçük bir test yaparım. Ortam değişkenleriyle çalışan araçlar için örnek:

export HTTP_PROXY=http://proxy.example.net:8080
export HTTPS_PROXY=http://proxy.example.net:8080
curl -I https://example.com

Buradaki -I yalnızca HTTP başlıklarını ister; gövdeyi indirmediği için hızlı bir kontrol sağlar. Proxy kimlik doğrulaması gerekiyorsa kullanıcı adı ve parolayı komut satırına yazmak yerine güvenli bir yapılandırma dosyası veya gizli değişken kullanın. Shell geçmişinde parola bırakmak, test sırasında fark edilmeyen klasik hatalardan biridir.

Proxy olmadan ve proxy ile görünen çıkış adresini karşılaştırmak için:

curl https://ifconfig.me
curl --proxy http://proxy.example.net:8080 https://ifconfig.me

İkinci komutun çıktısı proxy’nin çıkış IP’sini göstermelidir. Aynı sonucu görmek proxy’nin çalışmadığını düşündürür; fakat hedef servis proxy trafiğini engelliyor olabilir. Bu nedenle tek bir web sitesinin cevabıyla karar vermek yerine proxy loglarını ve curl -v çıktısını da kontrol ederim.

curl -v --proxy http://proxy.example.net:8080 https://example.com

-v ayrıntılı bağlantı akışını gösterir. HTTPS isteğinde proxy’ye gönderilen CONNECT example.com:443 satırını görebilirsiniz. Çıktıda parolaları veya erişim belirteçlerini paylaşmayın. Ben terminal çıktısını destek talebine yapıştırmadan önce bu alanları birkaç kez kontrol ederim.

Reverse proxy için basit Nginx örneği

Bir uygulamanın yalnızca 127.0.0.1:3000 üzerinde dinlediğini varsayalım. Nginx dışarıdan gelen bağlantıları karşılayıp isteği uygulamaya iletebilir:

server {
    listen 80;
    server_name app.example.com;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Host ve X-Forwarded-For başlıkları uygulamanın gerçek alan adını ve istemci zincirini anlamasına yardımcı olabilir. Uygulamanın bu başlıklara koşulsuz güvenmesi doğru değildir; yalnızca güvendiğiniz reverse proxy’nin eklediği değerleri kabul edecek şekilde yapılandırılmalıdır.

Yapılandırmayı etkinleştirmeden önce sözdizimini kontrol ederim:

sudo nginx -t
sudo systemctl reload nginx

reload mevcut bağlantıları mümkün olduğunca kesmeden yapılandırmayı yeniden yükler. Benim ilk yıllarımda alışkanlık “dosyayı değiştir, servisi restart et” şeklindeydi; gereksiz restart, küçük bir yapılandırma değişikliğini kısa bir kesintiye çevirebilir. Önce test, sonra reload daha sakin bir yöntemdir.

Bu reverse proxy’yi HTTPS ile yayınlayacaksanız alan adı DNS kaydı, sertifika ve uygulamanın doğru proxy başlıklarını üretmesi birlikte kontrol edilmelidir. Alan adı tarafında DNS davranışı için İnternet Protokolleri: TCP/IP’den HTTP/3’e Derinlemesine Bakış başlığı altında anlatılan çözümleme ve bağlantı katmanlarını bilmek işinizi kolaylaştırır.

Ücretsiz ve açık proxy kullanmak güvenli mi?

“Ücretsiz” kelimesi burada bir güvenlik özelliği değildir. Açık bir proxy’nin kimin tarafından işletildiği, trafiği kaydedip kaydetmediği, reklam veya zararlı kod enjekte edip etmediği belirsiz olabilir. HTTP üzerinden kullanıcı adı, parola, oturum çerezi veya API anahtarı göndermek özellikle risklidir.

HTTPS, proxy ile hedef arasındaki her şeyi otomatik olarak görünmez yapmaz. Proxy bağlantı zamanını, hedef alan adını, veri miktarını ve istemci IP’sini görebilir. TLS bağlantısı sonlandırılıyorsa içerik de incelenebilir. Sertifika uyarısını görmezden gelmek, proxy kullanımının sağladığı varsayılan faydaları boşa çıkarabilir.

• Kimlik bilgilerini açık HTTP üzerinden göndermeyin.
• Proxy sağlayıcısının kayıt ve gizlilik politikasını okuyun.
• Üretim API anahtarlarını rastgele proxy üzerinden geçirmeyin.
• Proxy sunucusuna güncel işletim sistemi, firewall ve erişim denetimi uygulayın.
• Kimlik doğrulamasız açık proxy çalıştırmayın.
• Kurumsal kullanımda log saklama süresini ve erişim yetkilerini yazılı belirleyin.

Proxy sunucusu internete açık bir VPS üzerindeyse bu sunucu, kötü niyetli kişilerin ücretsiz çıkış noktası hâline gelebilir. Firewall ile yalnızca izin verilen istemci ağlarına erişim verin, güçlü kimlik doğrulama kullanın ve bağlantı sayısını sınırlayın. Ağ trafiği saldırıları için ayrıca DDoS Saldırısı Nedir? VPS Koruma Rehberi içindeki temel önlemleri incelemek gerekir; proxy, DDoS korumasının yerine geçmez.

Proxy seçerken nelere bakılmalı?

İhtiyaç önce gelmeli. Tarayıcıda tek bir uygulamanın isteğini yönlendirmekle, yüzlerce kullanıcının çıkış trafiğini taşımak aynı şey değildir.

Performans için yalnızca ping süresine bakmayın. Proxy’nin hedefe erişim süresi, bağlantı başına gecikme, eşzamanlı bağlantı limiti, bant genişliği ve disk kullanımı da önemlidir. Büyük dosyaları proxy üzerinden geçirirken VPS bant genişliği hesabını ihmal etmek faturaya veya kota aşımına dönüşebilir; VPS Bant Genişliği Nedir? İhtiyacınızı Hesaplayın bu noktada yararlı bir referanstır.

Proxy kullanırken sık yapılan hatalar

• Proxy’yi anonimlik sanmak: IP adresi değişse de hesap, çerez, tarayıcı parmak izi ve kayıtlar kimliği ilişkilendirebilir.
• Her şeyi tek proxy’den geçirmek: Kritik bir çıkış noktasındaki arıza bütün uygulamaları etkiler.
• DNS sızıntısını kontrol etmemek: SOCKS5 kullanımında çözümlemenin nerede yapıldığını doğrulayın.
• Logları sınırsız saklamak: Gereksiz kişisel veri biriktirmek güvenlik yükünü artırır.
• Reverse proxy arkasındaki gerçek IP’yi yanlış okumak: Uygulama ve web sunucusu log formatları başlıkları doğru ele almalıdır.
• Test etmeden üretime almak: Önce küçük bir istemci grubuyla durum kodları, timeout ve büyük yanıtlar denenmelidir.

İlk hosting vardiyalarımda bir VPS’in dış API’ye erişemediği şikâyeti geldi. Uygulama logunda yalnızca genel bir bağlantı hatası vardı. Ben de önce uygulamayı yeniden başlatmayı düşündüm (evet, o refleks bende de vardı). Ardından env çıktısında tanımlı proxy değişkenlerini ve ağ geçidinin bağlantı kayıtlarını kontrol ettim; zorunlu proxy kapalı olduğu için istekler doğrudan çıkmaya çalışıyordu. Kuralı düzelttikten sonra uygulamaya dokunmadan sorun çözüldü. Log okumadan restart etmek, çoğu zaman teşhis yerine gürültü üretir.

Proxy kavramının tarayıcı üzerinden çalışan pratik bir örneğini merak ediyorsanız, Ktunnel Proxy Nedir? Nasıl Kullanılır ve Güvenli mi? rehberime de göz atabilirsiniz; kullanım adımlarını ve güvenlik açısından dikkat edilmesi gerekenleri anlaşılır biçimde ele aldım.

Sık Sorulan Sorular