Proxy Kimlik Doğrulama: Kullanıcı Adı/Şifre mi, IP Whitelist mi?

Proxy kimlik doğrulama, proxy sunucusunun bağlantıyı kimin kurduğunu doğrulayıp yetkisi olmayanı geri çevirmesidir. İki yöntem kullanılır: kullanıcı adı/şifre yönteminde istemci her bağlantıda kimlik bilgisini gönderir; IP whitelist (IP izin listesi) yönteminde ise proxy, bağlantının geldiği genel IP adresine bakar ve listede kayıtlı adreslerden gelen bağlantıyı şifresiz kabul eder.

IP adresiniz sık değişiyorsa ya da proxy’yi birden fazla cihazdan kullanıyorsanız kullanıcı adı/şifre seçin. Kod sabit IP’li bir sunucuda çalışıyorsa ya da kullandığınız program şifre alanı sunmuyorsa IP whitelist daha pratiktir. Örneklerde WeProxy gateway adresi gw.weproxy.com.tr:8989 kullanılıyor; USER ve PASSWORD müşteri panelindeki bilgilerinizdir.

Proxy kimlik doğrulama nedir, nasıl çalışır?

Proxy, kimin trafiğini taşıdığını bilmek zorundadır; açık bir proxy herkesin trafiğini sizin paketinizden geçirir. Doğrulama bu yüzden bağlantının en başında yapılır ve hedef siteye hiçbir istek gitmeden sonuçlanır.

HTTP proxy’de akış RFC 9110 ile tanımlıdır. İstemci kimlik bilgisi göndermeden bağlanırsa proxy 407 Proxy Authentication Required yanıtı ve Proxy-Authenticate başlığı döner. İstemci isteği bu kez Proxy-Authorization: Basic ... başlığıyla tekrarlar. Basic yöntemde kullanıcı:parola yalnız Base64 ile kodlanır, şifrelenmez (RFC 7617).

SOCKS5’te istemci önce desteklediği yöntemleri listeler (RFC 1928). 0x00 kimlik doğrulamasız bağlantıyı, 0x02 kullanıcı adı/şifreyi gösterir. Proxy 0x02’yi seçerse kullanıcı adı ve parola RFC 1929 alt anlaşmasıyla düz metin olarak gider. IP whitelist kullanılan bir bağlantıda proxy 0x00’ı kabul eder, çünkü kararı kaynak IP’ye göre zaten vermiştir.

IP whitelist protokolden bağımsızdır. Proxy, TCP bağlantısının geldiği adresi panelde kayıtlı listeyle karşılaştırır. Adres listedeyse bağlantı kabul edilir; değilse HTTP’de 407, SOCKS5’te reddedilen yöntem (0xFF) ya da kapanan bağlantı görürsünüz.

Kullanıcı adı ve şifreyle proxy nasıl kullanılır?

Kimlik bilgisi proxy adresine eklenir ya da programın ayrı alanlarına yazılır. cURL’de iki yazım da çalışır:

curl -x "http://USER:[email protected]:8989" https://api.ipify.org
curl -x "http://gw.weproxy.com.tr:8989" -U "USER:PASSWORD" https://api.ipify.org

Bu yöntemin en büyük artısı taşınabilirliktir. Aynı satır ev internetinde, mobil veride, bulut sunucusunda ve bir iş arkadaşınızın bilgisayarında çalışır. Çıkış IP’niz değiştiğinde bir şey yapmanız gerekmez. Hangi cihazdan bağlandığınızın önemi kalmadığı için ekip içinde dağıtmak da kolaydır.

Bedeli, parolanın her yerde yazılı olmasıdır. Proxy satırı scriptlere, ortam değişkenlerine, antidetect profillerine ve bazen loglara girer. Paylaşılan bir ekran görüntüsü ya da herkese açık bir depoya gönderilen bir yapılandırma dosyası paketinizi başkasına açar. Kodda parolayı ortam değişkeninden okuyun ve logları paylaşmadan önce URL’deki parolayı silin.

İkinci sınır, bazı programların kimlik bilgisini hiç kabul etmemesidir. Chrome’un --proxy-server bayrağı user:pass@ bölümünü okumaz ve Chrome kullanıcı adı/şifreli SOCKS5 proxy’yi desteklemez. Windows ve Android’in sistem proxy ekranlarında yalnız host ve port alanı bulunur. Tarayıcıda şifreli proxy için resmi eklentiyi kullanabilirsiniz; kurulum Chrome entegrasyonu sayfasında. Parolada @ veya : gibi karakterler varsa URL biçiminde yüzde kodlaması gerekir; yazım kuralları proxy formatları rehberinde.

IP whitelist nedir, nasıl çalışır?

IP whitelist’te parola yerine kendi genel IP adresinizi müşteri paneline kaydedersiniz. Proxy bu adresten gelen bağlantıları şifresiz kabul eder. Proxy satırı host:port olarak kısalır:

curl -x "http://gw.weproxy.com.tr:8989" https://api.ipify.org

Kaydedeceğiniz adres, bilgisayarınızın yerel adresi (192.168.x.x, 10.x.x.x) olmamalıdır. Proxy yalnız internete çıkan genel adresi görür. Bu adresi, proxy’yi kullanacak cihazda proxy kapalıyken My IP aracını açarak ya da komut satırından öğrenebilirsiniz:

curl https://api.ipify.org     # genel IPv4 adresiniz
curl https://api64.ipify.org   # IPv6 varsa IPv6 adresiniz

Sunucunuz gateway’e IPv6 üzerinden bağlanıyorsa listede IPv6 adresi olmalıdır; yalnız IPv4 adresini kaydettiyseniz bağlantı reddedilir. Bulut ortamlarında kodun çalıştığı makinenin dahili adresi ile internete çıktığı NAT adresi farklıdır. Listeye her zaman çıkış (egress) adresini yazın.

Bu yöntem kimlik bilgisini ortadan kaldırır. Sızacak bir parola yoktur ve şifre alanı olmayan programlar da proxy’yi kullanabilir. Sınırı, adresin sabit olması gerekmesidir. Ev internetinde modem yeniden başladığında, mobil veride baz istasyonu değiştiğinde ya da VPN sunucusu değiştiğinde genel IP değişir ve bağlantı reddedilir.

Bazı internet servis sağlayıcıları ve mobil operatörler aynı genel IP’yi CGNAT ile çok sayıda aboneye paylaştırır. Paylaşılan bir adresi whitelist’e eklediğinizde aynı adresin arkasındaki herkes paketinize şifresiz bağlanabilir. Whitelist’i yalnız size ait, sabit adreslerle kullanın.

Kullanıcı adı/şifre ve IP whitelist karşılaştırması

Kimlik doğrulama hız farkını yeni bağlantılarda yaratır. Kullanıcı adı/şifreli SOCKS5 her yeni bağlantıda ek bir gidiş-dönüş yapar; IP whitelist’te bu adım yoktur. Açık tutulan bağlantılarda fark hissedilmez. Protokoller arasındaki diğer farklar HTTP vs SOCKS5 yazısında.

Hangi durumda hangi yöntem seçilmeli?

Bazı ekipler iki yöntemi birlikte kullanır. Sunucudaki işler whitelist’le, dizüstündeki testler kullanıcı adı/şifreyle bağlanır. Ürününüz iki yöntemi de sunuyorsa bu düzen parolanın sunucu dosyalarına girmesini önler. Python’da iki yöntemin kod örnekleri Python ile proxy kullanımı yazısında; Puppeteer kurulumu Puppeteer entegrasyonu sayfasında.

WeProxy ürünlerinde hangi yöntem kullanılır?

Hangi yöntemin açık olduğu ürüne göre değişir. Ürün sayfalarında yazan durum şöyle:

Diğer ürünlerde yöntem ve desteklenen protokoller ürün sayfasının teknik özellikler ve SSS bölümünde yazar. Genel sorular SSS sayfasında toplanıyor. Kimlik bilgileri ve whitelist ayarı müşteri panelinden yönetilir. Whitelist’e yalnız size ait ya da kullanma izniniz olan IP adreslerini ekleyin.

Hedef sitenin IP whitelist’i: sabit çıkış IP’si gerekiyorsa

Whitelist kelimesi bazen ters yönde geçer. Bir iş ortağının API’si, bir yönetim paneli ya da bir ödeme servisi yalnız kayıtlı IP’lerden gelen isteklere yanıt verebilir. Bu durumda listeye proxy’nin size verdiği çıkış IP’sini yazarsınız; proxy’ye nasıl bağlandığınızın bir önemi yoktur.

Bu iş için çıkış adresi değişmeyen bir ürün gerekir. Rotating proxy’de IP istekten isteğe ya da oturum süresi dolunca değişir; karşı tarafın listesi ilk değişimde geçersiz kalır. Statik datacenter IPv4 proxy size ayrılmış sabit bir IP verir; adres paket dönemi boyunca aynı kalır. Siz proxy’ye kullanıcı adı/şifreyle bağlanırsınız, hedef servis ise sabit çıkış IP’sini tanır. Statik ve dönen IP modellerinin farkı sticky ve rotating proxy rehberinde, datacenter ile ISP proxy arasındaki seçim ISP proxy vs datacenter proxy yazısında.

407 hatası ve whitelist sorunları nasıl çözülür?

Kimlik doğrulama sorunlarının çoğu 407 Proxy Authentication Required olarak görünür. SOCKS5’te aynı sorun genellikle bağlantının hemen kapanmasıyla ortaya çıkar.

Bir satırın kendisinin doğru olup olmadığını programdan bağımsız görmek için proxy checker aracına yapıştırın. Checker’da çalışan ama programınızda çalışmayan satır, sorunun programın proxy ayarında olduğunu gösterir. 407 ile birlikte 403, 429 ve 502 kodlarının hangi katmandan geldiği proxy hata kodları rehberinde anlatılıyor. VPN ile proxy’yi birlikte kullanırken sıranın nasıl kurulacağı proxy mi VPN mi yazısında.

Proxy kimlik bilgilerini güvenli tutmak için kontrol listesi

• Parolayı kod deposuna yazmayın; ortam değişkeninden ya da gizli bilgi yöneticisinden okuyun.
• Logları, hata raporlarını ve destek taleplerini göndermeden önce URL’deki parolayı silin.
• Parolanın sızdığından şüpheleniyorsanız kullanmayı bırakın ve müşteri paneli ya da destek ekibi üzerinden yeni bilgi isteyin.
• Whitelist’e yalnız sabit ve size ait adresleri ekleyin; CGNAT arkasındaki ev ve mobil IP’leri eklemeyin.
• Kullanmadığınız sunucuların IP’lerini listeden çıkarın. Kapatılan bir VPS’in adresi bir süre sonra başka bir müşteriye verilebilir.
• HTTP proxy’de Basic kimlik bilgisi proxy’ye kadar şifresiz gider. HTTPS hedeflerde sayfa içeriği CONNECT tünelinde şifreli kalır, ama proxy bilgilerini güvenmediğiniz ağlarda kullanırken bunu hesaba katın.

Hangi yöntemi seçerseniz seçin, proxy üzerinden yaptığınız işlerde hedef sitenin kullanım şartları, robots.txt dosyası ve KVKK ile GDPR yükümlülükleri geçerlidir. WeProxy hizmetlerinde izin verilen kullanımlar kabul edilebilir kullanım sayfasında yazılıdır.