Bir IP Adresinin Proxy Olup Olmadığı Nasıl Anlaşılır? Adım Adım Rehber

Proxy Tespiti Meselesini Anlamak

Gelen bir bağlantının proxy üzerinden gelip gelmediğini anlamak; kötüye kullanım vakalarını incelerken, kimlik doğrulama uç noktalarını güvenceye alırken ya da olağandışı ağ trafiğini araştırırken sık karşılaşılan bir ihtiyaçtır. Proxy’ler de tek tip değildir: açık HTTP/SOCKS yönlendiricileri, ticari VPN sunucuları, veri merkezi tabanlı scraping aracıları, Tor çıkış düğümleri ve residential proxy ağları gibi farklı biçimlerde karşımıza çıkar.

Her proxy mimarisi IP yönlendirme katmanı ve taşıma protokolleriyle farklı şekilde etkileşime girdiği için tek bir manuel komutla kesin bir “evet” ya da “hayır” yanıtı almak mümkün değildir. Sağlıklı bir değerlendirme için birbirinden bağımsız birden fazla ağ sinyalini birlikte okumak gerekir. Bu rehberde bir IP’yi manuel olarak nasıl inceleyebileceğinizi ve bu işi ölçekli biçimde nasıl ele almanız gerektiğini adım adım anlatıyoruz.

Step 1: Reverse DNS (rDNS) ve PTR Kayıtlarını İnceleyin

Reverse DNS sorguları, bir IP adresini yapılandırılmış alan adına geri eşler. Birçok hosting sağlayıcısı, geniş bant internet servis sağlayıcısı ve mobil operatör, PTR kayıtlarında IP’nin kullanım bağlamını ele veren düzenli adlandırma kalıpları kullanır.

PTR kaydını dig ile sorgulayabilirsiniz:

bash dig -x 198.51.100.42 +short

Bu Sinyal Size Ne Söyler?

• Residential ya da geniş bant ISP: İçinde pool, cable, fiber, dhcp gibi ifadeler bulunan host adları veya dinamik oktet formatları (ör. 198-51-100-42.dyn.exampleisp.net) çoğunlukla sıradan son kullanıcı bağlantılarını işaret eder.
• Veri merkezi ya da VPS: vps, server, compute, hosted-by, linode, ovh gibi kalıplar ya da ham bulut host adları (ör. ec2-198-51-100-42.compute-1.amazonaws.com) veri merkezi altyapısına işaret eder. Gerçek bir son kullanıcının, kendi kurduğu VPN ya da proxy üzerinden yönlendirme yapmıyorsa, doğrudan VPS üzerinden meşru tarayıcı trafiği üretmesi pek olağan değildir.
• Eksik ya da jenerik PTR: Birçok proxy operatörü, ucuz VPS örnekleri üzerinde çalışır ve forward-confirmed reverse DNS (FCrDNS) yapılandırmasıyla uğraşmaz.

Sınırlamalar

Residential proxy ağlarını kullanan saldırganlar trafiği ele geçirilmiş ya da kiralanmış tüketici cihazları üzerinden geçirir. Bu durumda PTR kaydı tamamen normal bir ev interneti sağlayıcısını gösterebilir ve rDNS kontrolünü rahatlıkla boşa düşürür.

Step 2: Autonomous System Number (ASN) ve Yönlendirme Verisini Sorgulayın

Her IP adresi bir Autonomous System (AS) içinde yer alır. AS kaydı, ilgili IP bloğunun kime ait olduğunu ve BGP üzerinden kim tarafından duyurulduğunu gösterir. Standart ev kullanıcıları genellikle tüketici telekom operatörlerinin ASN’leri altında IP alırken, ticari proxy ve VPN sunucuları neredeyse her zaman hosting, bulut ya da colocation ASN’lerinde barınır.

ASN ayrıntılarını Team Cymru’nun DNS veya WHOIS servisleriyle sorgulayabilirsiniz:

bash whois -h whois.cymru.com " -v 198.51.100.42"

Alternatif olarak bölgesel internet kayıt otoritelerini (ARIN, RIPE, APNIC) doğrudan sorgulayabilirsiniz:

bash whois 198.51.100.42 | grep -iE "origin|org-name|descr|nettype"

ASN Sinyallerini Değerlendirme

• IP DigitalOcean, Hetzner, OVH, AWS veya M247 gibi bir ağa aitse ve kullanıcı kendisini etkileşimli bir web ziyaretçisi gibi gösteriyorsa, büyük olasılıkla bir aracı üzerinden geliyordur: VPN, ticari forwarder ya da otomatik bir script.
• NetType veya tahsis bilgisini kontrol edin. Proxy toplayıcılarıyla ilişkilendirilmiş yeniden tahsis edilmiş ya da taşınabilir bloklarda, çoğu zaman alttaki telekom operatöründen farklı şirket adları görünür.

Sınırlamalar

ASN düzeyindeki kontroller, alttaki taşıyıcının hâlâ AT&T, Comcast ya da uluslararası bir mobil operatör olarak göründüğü residential proxy trafiğini yakalayamaz.

Step 3: Bilinen Tor Çıkış Düğümlerini ve Tehdit Listelerini Kontrol Edin

Tor ağı, aktif çıkış düğümü IP adreslerinin yetkili ve dinamik bir listesini yayımlar. Tor çıkış relay’leri herkese açık olduğundan, bir IP’yi bu listeyle karşılaştırmak oldukça yüksek güven sağlayan bir kontroldür.

Aktif çıkış listesini doğrudan çekebilirsiniz:

bash curl -s https://check.torproject.org/torbulkexitlist | grep -x "198.51.100.42"

Tor Project DNSBL üzerinden DNS tabanlı bir kontrol de yapabilirsiniz:

bash # Reverse the target IP octets and query the dnsel zone dig 42.100.51.198.ip-port.exitlist.torproject.org A +short

Bu sorgu 127.0.0.2 döndürüyorsa, IP aktif bir Tor çıkış düğümüdür.

Sınırlamalar

Tor, anonimleştirme araçlarının yalnızca bir alt kategorisidir. Genel açık proxy listeleri ise oldukça oynaktır; bu listeler çoğu zaman birkaç dakika içinde çevrimdışı olan açık proxy’leri tarar. IP aralıkları yeniden tahsis edildiğinde bu durum yüksek oranda yanlış pozitif sonuca yol açabilir.

Step 4: Pasif ve Aktif Port Analizi

Proxy’ler çoğu zaman standart ya da yardımcı proxy portlarını dinleyen yazılımlar çalıştırır. Her istemci bağlantısına agresif port taraması yapmak hem müdahaleci hem yavaş hem de hukuki açıdan sorunlu olabilir. Ancak bir olay incelemesi sırasında manuel triyaj yapıyorsanız, yaygın portlara bakmak anlamlı olabilir.

bash nc -zv -w 2 198.51.100.42 8080 3128 1080 8888 80

• Port 1080: Standart SOCKS proxy portu.
• Port 3128: Varsayılan Squid HTTP proxy portu.
• Ports 8080, 8888: Yaygın alternatif HTTP forwarder portları.

Bu portlara bağlandığınızda Proxy-Agent, Via: 1.1 squid gibi bir HTTP başlığı dönüyorsa ya da beklenmeyen bir SOCKS handshake davranışı görüyorsanız, ilgili host büyük olasılıkla proxy sunucusudur.

Sınırlamalar

Kurumsal ölçekte çalışan ticari VPN’ler, reverse proxy’ler ve residential proxy daemon’ları genellikle istemciye bakan arayüzlerde herkese açık dinleme portu bırakmaz. Bunun yerine orkestrasyon düğümüne doğru dışarı yönlü reverse tunnel kurarlar; dışarıdan görülebilecek açık bir port kalmaz.

Manuel Kontroller ve Gerçek Hayat

| Technique | Primary Signal | Major Blind Spot | | :--- | :--- | :--- | | Reverse DNS | Veri merkezi host adları, eksik PTR | Residential proxy’ler tüketici ISP’si gibi görünür | | ASN Lookup | Hosting/bulut sağlayıcısı sınıflandırması | Residential subnet’ler üzerinden yönlendirilen trafiği işaretleyemez | | Tor Exit Lists | Aktif Tor çıkışları için deterministik liste | VPN, SOCKS ve ticari proxy’leri görmez | | Port Probing | Açık proxy daemon’ları (Squid, SOCKS) | Modern tüneller dışarı yönlü reverse bağlantı kullanır |

Step 5: Çalışma Anında Otomatik IP İstihbaratı

Manuel inceleme, olay sonrası analiz için işe yarar. Ancak etkileşimli uygulamalarda kimlik doğrulama, ödeme ya da kayıt akışları sırasında milisaniyeler içinde karar vermeniz gerekir. Bu katmanda asıl zorluk residential proxy tespitidir: Yani gerçekten bir tüketici ISP’sine ait görünen IP’nin arka planda backconnect proxy tüneli çalıştırıp çalıştırmadığını anlamak.

Bunu çözmek için BGP duyurularını, aktif probe telemetrisini, honeypot verilerini ve bağlantı davranış kalıplarını tek bir sorguda birleştirmek gerekir. guarda.net gibi bir IP istihbaratı servisi bu sinyalleri bir araya getirerek birleşik bir JSON yanıtı sunar:

bash curl -s "https://api.guarda.net/v1/ip/198.51.100.42" \ -H "Authorization: Bearer YOUR_API_KEY"

Tipik bir yanıt, ayrık boolean sınıflandırmaların yanında birleşik bir risk skoru döndürür:

{ "ip": "198.51.100.42", "is_proxy": true, "is_vpn": false, "is_tor": false, "is_datacenter": true, "asn": { "number": 16276, "org": "OVH SAS" }, "risk_score": 88 }

Yapılandırılmış alanlar kullanmak, firewall veya uygulama kodunuzda çok daha net politikalar uygulamanızı sağlar. Örneğin kayıt sırasında veri merkezi IP’lerini reddedip kurumsal VPN’lere izin verebilir ya da yalnızca is_proxy true olduğunda veya genel risk_score belirlediğiniz eşiği aştığında ek kimlik doğrulama isteyebilirsiniz.

Bir IP’yi script kurmadan hemen değerlendirmek isterseniz, 594,400 üzerinde sorgu işlemiş olan guarda.net ana sayfasındaki ücretsiz IP kontrolünü de kullanabilirsiniz.