Reverse Proxy Nedir? Forward Proxy ile Farkı

Reverse proxy, bir web sitesinin önünde duran ve ziyaretçiden gelen istekleri arkadaki asıl sunucuya aktaran ara sunucudur; onu sitenin sahibi seçer ve kurar, ziyaretçinin bu seçimde payı yoktur. Forward proxy ise tam tersidir: istemcinin kendi seçtiği, tarayıcısına ya da uygulamasına adresini yazdığı ve isteklerini internete o adres üzerinden gönderdiği ara sunucudur. ProxySatınAl kataloğundaki her paket forward proxy’dir; reverse proxy, sitenin sunucu tarafında kurulan bir yazılımdır ve katalogda satılmaz.

HTTP standardı (RFC 9110, 3.7. bölüm) üç tür aracı tanımlar. “Proxy”, istemcinin genellikle yerel ayarla seçtiği ve belirli adres türleri için isteklerini ilettiği aracıdır. “Gateway”, belgede parantez içinde reverse proxy olarak da anılır; dışarıya karşı asıl sunucu gibi davranır, aldığı istekleri içerideki bir ya da birden fazla sunucuya aktarır. Üçüncüsü “tunnel”, iki bağlantı arasında mesajlara dokunmadan veri taşıyan kör aktarıcıdır. Günlük dilde forward proxy standarttaki “proxy”, reverse proxy ise standarttaki “gateway” karşılığıdır.

Aynı cihaz, isteğin niteliğine göre bu rollerden birkaçını birden üstlenebilir; standart bunu açıkça söyler. Ama satın alma tarafında soru nettir: adres değiştirmek, başka ülkeden çıkmak ya da bir siteye çok sayıda adresle istek atmak için gereken şey forward proxy’dir. Kendi sitenizin önüne yük dağıtıcı, önbellek ya da şifreleme katmanı koymak istiyorsanız aradığınız şey reverse proxy’dir ve bunu sunucunuza kurduğunuz yazılımla edinirsiniz.

İki türü ayıran teknik ayrıntı çoktur ama hepsinin altında tek soru yatar: aracıyı kim seçti? Forward proxy’yi istemci seçer. Windows ayarlarına, tarayıcı eklentisine ya da Proxifier gibi bir araca adres ve port yazarsınız; o andan sonra istekleriniz oraya gider. Hedef sitenin bu seçimde payı yoktur ve çoğu zaman haberi de olmaz; gördüğü şey proxy’nin adresinden gelen bir istektir.

Reverse proxy’yi sunucu sahibi seçer. Siteyi barındıran kişi, alan adını uygulama sunucusunun önündeki aracıya yönlendirir; ziyaretçi tarayıcısında hiçbir ayar yapmaz, alan adını yazar ve karşısına reverse proxy çıkar. Ziyaretçi açısından reverse proxy ile asıl sunucu arasında fark yoktur; standart da bunu “dışa dönük bağlantıda asıl sunucu gibi davranır” diye tanımlar.

Bu tek ölçüt dört pratik farkı doğurur. Kurulum yeri: forward proxy istemci cihazında ya da istemcinin ağında, reverse proxy sunucunun önünde. Gizlenen taraf: forward proxy istemcinin adresini hedeften gizler, reverse proxy arkadaki sunucunun adresini ve yapısını ziyaretçiden gizler. Haberdar olan taraf: forward proxy’den istemci haberdardır, hedef değil; reverse proxy’den sunucu sahibi haberdardır, ziyaretçi değil. Ücretin kime ödendiği: forward proxy hizmeti istemci satın alır, reverse proxy yazılımını sunucu sahibi kurar ya da bir içerik dağıtım hizmetinden kiralar.

Bir fiyat takibi aracının bir e-ticaret sitesine attığı tek bir isteği izleyelim. İstek önce aracın ayarındaki forward proxy’ye gider; proxy, isteği kendi adresinden hedefe iletir. Hedefin alan adı çoğu zaman sitenin önündeki reverse proxy’ye çözülür. Reverse proxy isteği alır, gerekirse önbellekten cevaplar, gerekmezse arkadaki sunuculardan birine aktarır; cevap aynı yoldan geri döner. Tek istek, biri istemcinin biri sunucunun seçtiği iki aracıdan geçmiştir.

İki aracı başlıklarla da birbirinden ayrılır. Forward proxy, ayarına göre hedefe Via ya da X-Forwarded-For gibi başlıklar ekleyebilir; bunları ekleyip eklemediği anonimlik seviyesini belirler ve ayrı bir rehberde anlatılır. Reverse proxy ise ters yönde çalışır: arkadaki uygulama sunucusunun gerçek ziyaretçiyi tanıması için ziyaretçinin adresini bir başlıkla içeriye iletir. NGINX belgesindeki örnekte bu iş proxy_set_header yönergesiyle yapılır; Host başlığı $host değişkenine, X-Real-IP başlığı $remote_addr değişkenine ayarlanır. Belge, NGINX’in varsayılan olarak Host ve Connection başlıklarını değiştirdiğini de söyler.

Bu noktanın satın alma açısından anlamı şudur: sizin forward proxy’nizin “gerçek ziyaretçi adresi” olarak görüldüğü yer, hedefin reverse proxy’sidir. Hedef site engel koyacaksa, istek sınırı uygulayacaksa ya da adresin türüne bakacaksa bunu çoğu zaman reverse proxy katmanında yapar. Yani hedefin reverse proxy’si sizin proxy adresinizin kayıtlı sahibini görür; adresin veri merkezi mi ev bağlantısı mı olduğu, bu katmanın verdiği karara doğrudan girer.

RFC 9110, gateway için üç kullanım sayar: eski ya da güvenilmeyen bilgi servislerini bir kabuk içine almak, “hızlandırıcı” önbellekle sunucu performansını artırmak ve HTTP servislerini birden fazla makineye bölmek ya da yük dağıtmak. NGINX’in reverse proxy belgesi de aynı üçlüyü pratik dille yazar: yükü birkaç sunucu arasında dağıtmak, farklı sitelerden gelen içeriği tek adresten göstermek ve istekleri HTTP dışındaki protokollerle uygulama sunucularına aktarmak. NGINX belgesine göre reverse proxy’nin en yaygın kullanımı yük dağıtmadır.

Bu görevlerin ortak yanı, hepsinin sunucu sahibinin sorunu olmasıdır. Ziyaretçi sayısı arttığında tek sunucu yetmez, reverse proxy istekleri birkaç sunucuya böler. Aynı sayfa binlerce kez istendiğinde uygulama her seferinde çalışmasın diye reverse proxy cevabı önbellekte tutar. Uygulama sunucusu doğrudan internete açılmasın diye reverse proxy dışarıya tek kapı olur. Çoğu kurulumda şifreli bağlantı da bu katmanda sonlandırılır; sertifika reverse proxy’de durur, arkadaki sunucular şifresiz konuşur.

Kurulumda bu rolü üstlenen yazılım sunucuya konur ve alan adı ona yönlendirilir. NGINX belgesindeki en basit örnek, bir location bloğunun içine proxy_pass yönergesiyle arkadaki sunucunun adresini yazmaktan ibarettir; örnekte istekler yerel makinedeki 8000 portuna aktarılır. Birden fazla arka sunucu varsa proxy_pass adlandırılmış bir sunucu grubuna işaret eder ve istekler seçilen yönteme göre gruba dağıtılır. Kurulum ayrıntısı yazılımın kendi belgesindedir; burada önemli olan, bu yazılımın sizin satın aldığınız şeyle aynı kelimeyi taşımasına rağmen başka bir iş yapmasıdır.

RFC 9110 forward proxy’nin klasik kullanımını bir kurumun HTTP isteklerini güvenlik, işaretleme ya da ortak önbellek için tek aracıdan geçirmek diye tanımlar. Bugün satın alınan forward proxy’nin işi ise çoğunlukla adres değiştirmektir: istek proxy’nin adresinden çıkar, hedef o adresi ve o adresin ülkesini görür. Fiyat takibi, sıra takibi, reklam doğrulama, hesap yönetimi ve veri toplama işlerinin hepsi bu tek özelliğe dayanır.

ProxySatınAl kataloğundaki paketlerin tamamı bu anlamda forward proxy’dir. Paketler adres türüne (datacenter, residential, mobile), rotasyon biçimine (rotating ya da static) ve ülkeye göre etiketlenir; birim GB, adet ya da port olur. Örnek olarak static IPv4 datacenter paketi 100 adet için 30 günlük 15 dolardır, static IPv4 residential Türkiye paketi 1 adet için aylık 2,25 dolardır, rotating IPv4 datacenter paketi 10 GB için tek seferlik 6 dolardır. Üçünün ortak noktası, adresi ve portu alıp kendi uygulamanıza yazmanızdır; hiçbiri sitenizin önüne konan bir yazılım değildir.

Protokol de forward proxy’ye özgü bir seçimdir. HTTP proxy, tarayıcı ve çoğu aracın anladığı yoldur; şifreli hedeflere CONNECT komutuyla tünel açar. SOCKS5, uygulamanın açtığı bağlantıyı içeriğine bakmadan taşır ve oyun ya da masaüstü programları gibi HTTP konuşmayan yazılımlarda gerekir. Reverse proxy tarafında böyle bir seçim yoktur; ziyaretçi her zaman HTTP ya da HTTPS ile gelir ve reverse proxy arkaya hangi protokolle konuşacağına kendi karar verir.

Birincisi, iki tür için de aynı kelime kullanılır. Türkçede “proxy sunucusu” hem Windows ayarlarına yazılan adresi hem de sitenin önündeki NGINX’i anlatır; bir sunucu yöneticisiyle bir fiyat takibi ekibi aynı kelimeyle farklı şeyleri kasteder. Arama sonuçlarında kurulum anlatan sayfaların yarısı sunucu tarafını, yarısı istemci tarafını anlatır ve hangisini okuduğunuzu ancak “kim seçiyor” sorusuyla anlarsınız.

İkincisi, “transparent proxy” iki tarafta da geçer. Kurum ağında ayar yapmadan trafiğinizin bir filtreden geçmesi bir forward proxy düzenidir, çünkü aracıyı istemcinin bulunduğu ağ seçmiştir; ziyaretçinin fark etmediği reverse proxy de aynı sıfatla anılır. İki kullanım aynı değildir: birinde gizlenen sizin adresiniz, ötekinde sunucunun yapısıdır. Bir sayfada “transparent” kelimesini görünce önce hangi tarafın anlatıldığına bakın.

Üçüncüsü, içerik dağıtım hizmetleri. Bir sitenin önündeki dağıtım ağı “proxy modu” adıyla bir reverse proxy katmanıdır ve sitenin gerçek sunucu adresini gizler. Veri toplayan tarafta bu katman “site engelliyor” diye hissedilir, çünkü istek sınırı ve adres türü kontrolü burada çalışır. Sizin forward proxy’nizin kalitesi, bu katmanın verdiği karara etki eder; katmanın kendisi sizin satın alabileceğiniz bir şey değildir.

Aradığınız şeyin katalogda olup olmadığı, kullandığınız cümleden belli olur. “Sitemin önüne proxy koymak, yükü dağıtmak, sertifikayı tek yerde tutmak” reverse proxy’dir; sunucuya kurulan yazılımdır, katalogda satılmaz. “IP değiştirmek, Türkiye adresinden çıkmak, bir siteye çok adresle istek atmak, hesapları ayrı adreslerden yönetmek” forward proxy’dir; katalogdaki paketlerden biridir. “API’ye sabit bir adresten bağlanmak, karşı tarafın izin listesine tek adres yazdırmak” yine forward proxy’dir ve static ailesinden seçilir. “Kendi sunucumda proxy kurmak” her ikisi de olabilir; cümlenin devamı “sitemin önüne” diyorsa reverse, “oradan internete çıkmak için” diyorsa forward’dır.

Forward proxy’ye karar verdikten sonra seçim üç soruya iner: hedef hangi adres türünü kabul ediyor, iş sabit adres mi dönen adres mi istiyor, hacim GB ile mi adetle mi ölçülüyor. Bu üç sorunun cevabı hangi proxy türü, static mi rotating mi ve fiyatlandırma modelleri rehberlerinde ayrı ayrı anlatılıyor. Reverse proxy’ye karar verdiyseniz sunucu yazılımının kendi belgesine gidersiniz; bu sitede o kurulumun rehberi yoktur.

Bir de iki tarafı aynı anda yöneten kullanıcı vardır: kendi sitesinin önünde reverse proxy çalıştıran ve aynı zamanda rakip fiyatlarını forward proxy ile toplayan bir e-ticaret ekibi gibi. Bu ekip için iki yazılım iki ayrı iştir; reverse proxy’nin günlükleri ziyaretçi adreslerini, forward proxy’nin paneli kendi çıkış adreslerini gösterir. İkisinin kayıtlarını aynı dosyada tutmak hata kaynağıdır; hangi adresin kimin olduğunu ayırmak bu rehberdeki tek ölçütle yapılır.

Reverse proxy satın alabilir miyim? Bu katalogda hayır; reverse proxy sunucunuza kurduğunuz bir yazılım ya da sitenizin önüne aldığınız bir dağıtım hizmetidir. Kataloğun tamamı istemci tarafında kullanılan forward proxy paketlerinden oluşur.

Forward proxy ile reverse proxy aynı cihazda olabilir mi? Evet; RFC 9110 tek aracının isteğin niteliğine göre proxy, gateway ya da tunnel gibi davranabileceğini söyler. Bu, satın alma kararını değiştirmez: siz istemci tarafındaki rolü kullanırsınız.

Hedef site benim proxy kullandığımı reverse proxy’sinden mi anlıyor? Hedef, isteğin geldiği adresi ve varsa Via ya da X-Forwarded-For başlıklarını görür; bu kontrol çoğu zaman sitenin önündeki katmanda yapılır. Hangi başlıkların eklendiği anonimlik seviyeleri rehberinde, adres türünün etkisi datacenter ve residential farkı rehberinde anlatılıyor.

VPN reverse proxy mi? Hayır. VPN bütün cihazın trafiğini istemcinin seçtiği bir tünelden geçirir; kim seçiyor ölçütüne göre forward tarafına yakındır, ama proxy de değildir. Fark proxy ve VPN farkı rehberinde.

Kendi reverse proxy’min arkasından forward proxy kullanabilir miyim? Evet; sunucunuzdaki bir uygulama dışarıya forward proxy üzerinden çıkabilir ve bu, sitenizin önündeki reverse proxy’den bağımsızdır. İki yapılandırma birbirine dokunmaz.