Русский
English
Українська
Deutsch
Español
Português
Türkçe
中文
Tunnel proxy, istemci ile hedef sunucu arasında uçtan uca bir bağlantı kurar; tüm trafiği proxy sunucusundan geçen güvenli bir kanalın içine kapsüller ve genellikle içeriği incelemez.
Trafik tünellemeyi anlamak
Proxy üzerinden trafik tünelleme, proxy sunucusunun uygulama katmanı aracısı olmak yerine ham veri akışları için bir röle görevi görmesi demektir. İstemci bağlantılarını sonlandıran, HTTP isteklerini ayrıştıran ve ardından kaynak sunuculara yeni bağlantılar açan geleneksel forward proxy'lerin aksine, bir tunnel proxy istemci ile nihai hedef arasında doğrudan, bayt bayt bir boru hattı kurar. Bu mekanizma esas olarak HTTPS, SSH veya VPN trafiği gibi şifreli ya da HTTP'yi anlamayan bağlantı gerektiren protokoller için kullanılır.
CONNECT yöntemi
Bir HTTP proxy üzerinden tünel kurmanın en yaygın yolu CONNECT HTTP yöntemidir. Bir istemcinin proxy üzerinden HTTP olmayan bir servise veya şifreli bir HTTP servisine (HTTPS) bağlanması gerektiğinde, proxy'ye bir CONNECT isteği gönderir.
İstemci isteği örneği:
CONNECT www.example.com:443 HTTP/1.1
Host: www.example.com:443
Proxy-Connection: Keep-Alive
Bu isteği alan proxy sunucusu, belirtilen host ve porta (örneğin www.example.com, port 443) bir TCP bağlantısı kurmayı dener.
Proxy yanıtı örneği:
HTTP/1.1 200 Connection established
Proxy-Agent: Squid/5.8
Proxy hedefe bağlantıyı başarıyla kurarsa 200 Connection established durumuyla yanıt verir. Bu noktadan sonra proxy, içinden geçen veriyi yorumlamayı bırakır. Bunun yerine basit bir TCP rölesi gibi davranır ve istemciden gelen sonraki tüm baytları hedef sunucuya, hedeften geleni de istemciye iletir. İstemci ile hedef, bu tünel üzerinden kendi protokolünü (örneğin HTTPS için TLS handshake) kurabilir.
Tunnel proxy kullanım alanları
Tunnel proxy'ler çeşitli ağ operasyonlarının ve güvenlik yaklaşımlarının ayrılmaz parçasıdır.
- HTTPS (SSL/TLS) trafiği: Başlıca kullanım alanı. Tarayıcılar HTTPS trafiğini tünellemek için
CONNECTkullanır; proxy içeriği çözmediği için istemci ile web sunucusu arasındaki uçtan uca şifreleme bozulmadan kalır. - Şifreli protokoller: SSH (Secure Shell), SFTP veya VPN tünelleri (örneğin OpenVPN, WireGuard) gibi TCP tabanlı her şifreli protokol bir tunnel proxy üzerinden yönlendirilebilir.
- HTTP olmayan protokoller: FTP, SMTP, IMAP veya özel uygulama protokolleri de,
CONNECTyöntemini destekleyen bir proxy ya da SOCKS proxy kullanacak şekilde yapılandırılırsa tünellenebilir. - Ağ kısıtlamalarını aşma: Bazı ortamlarda basit güvenlik duvarları belirli portlara veya servislere doğrudan bağlantıyı engelleyebilir. Bir tunnel proxy bu trafiği izin verilen bir port üzerinden (örneğin proxy'nin kendisi için 80 veya 443) yönlendirerek port temelli kısıtlamayı fiilen aşabilir.
- Gizliliği koruma: Proxy tünellenen içeriği incelemediği için istemci ile hedef sunucu arasındaki iletişimin gizliliği, proxy açısından korunmuş olur.
Tunnel proxy ile diğer proxy türlerinin karşılaştırması
Tunnel proxy'lerin diğer proxy türlerinden farkını bilmek, doğru konumlandırma ve güvenlik için kritiktir.
| Özellik | Tunnel proxy (örneğin HTTP CONNECT) |
Forward proxy (tünellemeyen HTTP) | SOCKS proxy | Reverse proxy |
|---|---|---|---|---|
| Protokol katmanı | Oturum/taşıma katmanı (TCP) | Uygulama katmanı (HTTP/HTTPS) | Oturum katmanı (TCP/UDP) | Uygulama katmanı (HTTP/HTTPS) |
| İçerik görünürlüğü | Yok (veri okunamaz) | Tam (HTTP başlıklarını/gövdesini ayrıştırır) | Yok (veri okunamaz) | Tam (HTTP başlıklarını/gövdesini ayrıştırır) |
| Başlıca kullanım | HTTPS, SSH, VPN, HTTP olmayan TCP bağlantıları | HTTP için önbellekleme, filtreleme, loglama, erişim kontrolü | Genel TCP/UDP tünelleme, güvenlik duvarını aşma | Yük dengeleme, SSL sonlandırma, sunucu güvenliği |
| Şifreleme | İstemci/hedef arasındaki uçtan uca şifrelemeyi korur | HTTPS için şifreyi çözüp yeniden şifreleyebilir (man-in-the-middle) | Uçtan uca şifrelemeyi korur | İstemciden gelen SSL/TLS'yi sonlandırıp arka uca yeniden şifreleyebilir |
| İstek yöntemi | CONNECT |
GET, POST, PUT vb. |
CONNECT (SOCKS5) |
İstemci doğrudan arka uç servislerini ister |
Tunnel proxy'lerin avantajları
- Güvenlik: Tünellenen trafiğin şifresini çözmedikleri ve içeriğini incelemedikleri için tunnel proxy'ler TLS gibi uçtan uca şifreleme protokollerinin bütünlüğünü korur; böylece hassas veriler istemci ile nihai sunucu arasında gizli kalır.
- Protokolden bağımsızlık: Tünel kurulduktan sonra proxy, kullanılan uygulama katmanı protokolüne kayıtsızdır. Bu sayede TCP tabanlı hemen her servis tünellenebilir.
- Daha düşük proxy yükü: Proxy, tünellenen trafik için derin paket incelemesi veya uygulama katmanı işlemesi yapmadığından, içerik inceleyen proxy'lere kıyasla hesaplama yükü daha düşüktür. Proxy esas olarak TCP bağlantı durumlarını yönetir.
- Esneklik: Kısıtlayıcı ağ politikaları nedeniyle engellenebilecek trafiği yönlendirmek için bir yol sunar ve istemcinin farklı servislere erişimini iyileştirir.
Sınırlamalar ve dikkat edilmesi gerekenler
- İçerik incelemesi yok: Tünellenen trafiğin incelenememesi, proxy'nin içerik tabanlı güvenlik politikaları uygulayamaması, virüs taraması veya veri sızıntısı önleme (DLP) yapamaması ve uygulama katmanı verisine dayalı ayrıntılı erişim kontrolleri kuramaması demektir. Uygun şekilde yönetilmezse bu bir güvenlik açığı olabilir.
- Güvenlik denetimlerinin atlatılması: Kötü niyetli aktörler, yasa dışı trafiklerini şifreli bir tünelin içine kapsülleyerek içerik incelemesine dayanan ağ güvenliği cihazlarını (örneğin saldırı tespit/önleme sistemleri, Web Application Firewall'lar) tunnel proxy'lerle atlatabilir.
- Kaynak tüketimi: İçerik incelenmese bile çok sayıda eşzamanlı TCP tünelini ayakta tutmak sistem kaynağı harcar (bağlantı durumları için bellek, açık dosya tanıtıcıları, ağ bant genişliği).
- Şeffaflık: Standart tunnel proxy'ler açık (explicit) çalışır; istemcilerin bunları kullanacak şekilde yapılandırılması gerekir. Transparan proxy'ler genellikle
CONNECTyöntemini doğrudan desteklemez, ancak belirli protokoller için tünellemeyi taklit edecek biçimde trafiği yakalayıp yönlendirebilir. - Politika uygulama: Tunnel proxy kullanan kurumlar bunun ağ güvenliği ve uyumluluk açısından sonuçlarını değerlendirmelidir. Politikalar, hangi istemcilerin hangi hedeflere tünel kurabileceğini belirlemelidir.
Yapılandırma örneği (Squid proxy)
Squid gibi bir proxy sunucusunu CONNECT yöntemiyle tünellemeye izin verecek şekilde yapılandırmak basittir. Aşağıdaki yapılandırma parçası, standart HTTPS portuna (443) ve SSH portuna (22) ek olarak belirli bir özel porta (8443) CONNECT isteklerine izin verir.
# Standart SSL/TLS ve SSH portlarına CONNECT izni ver
acl SSL_ports port 443
acl SSL_ports port 22
acl SSL_ports port 8443 # Özel bir güvenli port örneği
# Diğer portlara CONNECT isteklerini engelle
http_access deny CONNECT !SSL_ports
# Kalan tüm trafik için CONNECT izni ver
# Bu kural, varsa belirli engelleme kurallarından sonra gelmelidir
http_access allow CONNECT
Bu yapılandırma, tünellemeye izin verirken bunu yaygın kullanılan güvenli portlarla veya açıkça izin verilen özel portlarla sınırlar ve sınırsız tünellemeye bağlı bazı riskleri azaltır. Üretim ortamlarında istemci erişimini ve hedef adresleri kısıtlamak için genellikle daha ayrıntılı erişim kontrol listeleri (ACL) uygulanır.