Proxy tespiti ve sızıntılar: WebRTC, DNS, UDP/QUIC ve saat dilimi

Siteler proxy kullandığınızı nasıl anlar?

Bir site, bağlantınızın geldiği IP adresini her zaman görür. Proxy kullandığınızda bu, proxy sunucusunun çıkış adresidir. Ancak site yalnızca IP'ye bakmaz; IP'nin türünü (ev bağlantısı mı, veri merkezi mi, mobil operatör mü), bilinen proxy listelerinde olup olmadığını ve en önemlisi tarayıcının söyledikleriyle tutarlı olup olmadığını da değerlendirir. Proxy'nin kendisi sorun olmayabilir; sorun, gerçek IP'nizin ya da konumunuzun başka bir kanaldan sızmasıdır.

Proxy türleri kısaca

• HTTP/HTTPS proxy: Web trafiğini CONNECT tüneliyle taşır. Yalnızca TCP taşır.
• SOCKS5 proxy: Daha genel bir tüneldir. Protokol UDP'yi de tanımlar ama pek çok sağlayıcı bunu desteklemez; pratikte çoğu SOCKS5 proxy de yalnızca TCP taşır.
• Veri merkezi, ev (residential) ve mobil IP'ler: Teknik olarak aynı şekilde çalışırlar; fark, IP'nin kime ait göründüğündedir.

Buradaki kritik nokta şudur: proxy'niz büyük olasılıkla UDP taşımıyor. Tarayıcı UDP kullanan bir şey yapmaya kalktığında ya bu trafiği engellemeli ya da proxy'nin dışından, doğrudan göndermemelidir. Sızıntıların çoğu tam olarak burada başlar.

En yaygın sızıntılar

WebRTC sızıntısı

WebRTC, görüntülü görüşme ve eşler arası bağlantılar için kullanılır. Bağlantı kurarken STUN sunucularına UDP üzerinden istek gönderip genel IP adresinizi öğrenir ve bunu “aday” (ICE candidate) olarak sayfaya sunar. Tarayıcı bu isteği proxy'nin dışından gönderirse, sitenin kendi STUN sunucusu proxy'nin değil, sizin gerçek IP'nizi görür. WebRTC'yi tamamen kapatmak da bir çözüm değildir; WebRTC'si olmayan bir Chrome, alışılmadık bir Chrome'dur. Doğru yaklaşım, WebRTC'yi açık tutup yalnızca proxy üzerinden çalışmasını sağlamak ve proxy'siz UDP'yi engellemektir.

DNS sızıntısı

Bir alan adını ziyaret etmeden önce adın IP adresine çevrilmesi gerekir. Bu çözümleme proxy yerine bilgisayarınızın kendi DNS sunucusunda yapılırsa, internet sağlayıcınız ziyaret ettiğiniz siteleri görür. Ayrıca siteler, kendilerine özel bir alt alan adını sorgulatarak hangi DNS çözücüsünün geldiğini öğrenebilir. IP'niz Almanya'da ama DNS çözücünüz Türkiye'deyse bu açık bir çelişkidir.

UDP, QUIC ve HTTP/3

HTTP/3, UDP üzerinde çalışan QUIC protokolünü kullanır; WebTransport da öyle. TCP taşıyan bir proxy bu trafiği iletemez. Tarayıcı yanlış yapılandırılmışsa QUIC bağlantısını proxy'yi atlayarak doğrudan deneyebilir ya da UDP'nin olmadığı bir ortamda “UDP'si var” gibi davranarak çelişki yaratabilir. Doğru davranış, proxy arkasında QUIC'in proxy'yi asla atlamaması ve UDP gerektiren isteklerin kontrollü biçimde TCP'ye düşmesidir.

Saat dilimi ve dil uyumsuzluğu

Bu teknik olarak bir “sızıntı” değil ama en sık görülen tutarsızlıktır. IP'niz Londra'yı, tarayıcınızın saati İstanbul'u, dil listesi Türkçeyi gösteriyorsa site bunu kolayca fark eder. Saat dilimi, dil ve coğrafi konum izni proxy'nin çıkış ülkesine göre ayarlanmalıdır.

Proxy başlıkları

Bazı proxy'ler isteğe Via, X-Forwarded-For ya da Forwarded gibi başlıklar ekler. Bu başlıklar proxy kullanıldığını doğrudan söyler, hatta bazen gerçek IP'yi içerir. Kaliteli proxy'ler bunları eklemez, ama emin olmak için test etmek gerekir.

TCP/IP ve işletim sistemi uyumu

Her işletim sistemi TCP paketlerini biraz farklı kurar (başlangıç TTL değeri, pencere boyutu, seçeneklerin sırası). Pasif olarak bakan bir sistem, bağlantının Linux'tan mı Windows'tan mı geldiğini tahmin edebilir. Proxy sunucusu Linux çalıştırıyorsa ve tarayıcı Windows olduğunu söylüyorsa bu küçük bir çelişki yaratır. Bu tamamen tarayıcının kontrolünde değildir; proxy seçiminizi etkileyen bir faktördür.

Sızıntılar nasıl test edilir?

1. Profili proxy ile açın ve önce IP kontrol eden bir sitede çıkış adresinin proxy olduğunu doğrulayın.
2. BrowserLeaks'in WebRTC sayfası gibi bir testte görünen adaylar arasında gerçek IP'nizin olmadığını kontrol edin.
3. Bir DNS sızıntı testiyle çözücülerin proxy'nin ülkesinde olduğunu doğrulayın.
4. Saat dilimi ve dilin IP ile eşleştiğini kontrol edin.
5. Proxy'yi bilerek kapatın ve tarayıcının gerçek bağlantınızla açılmadığını, trafiğin kesildiğini görün. Buna kill-switch testi diyoruz.

Bu testleri her profil için elle yapmak zaman alır; bu yüzden tarayıcının bunları kendisinin yapabilmesi büyük kolaylıktır.

Kalkan sızıntıları nasıl kapatır?

Kalkan'da her profilin trafiği yerel bir SOCKS5 tünelinden geçer; tarayıcı proxy şifresini hiç görmez ve isteklere proxy başlığı eklenmez. Proxy'siz UDP engellenir: WebRTC açık kalır ama gerçek IP'nizi göstermez, QUIC/HTTP3 ve WebTransport proxy'yi atlayamaz. DNS sorguları DNS-over-HTTPS ile proxy'nin içinden, çıkış ülkesine uygun şekilde yapılır. Proxy düşerse bağlantı kesilir; gerçek IP'nize asla geri dönülmez.

Proxy'leri toplu içe aktardığınızda Kalkan her birini test eder, ülkesini bulur ve profilin saat dilimini, dilini ve konumunu buna göre ayarlar. Uygulamanın teşhis aracı WebRTC, DNS, HTTP IP, saat dilimi, dil, HTTP/3, WebTransport, TCP/IP, TLS ve proxy başlıklarını sitelerin kullandığı yöntemlerle kontrol eder. Proxy kullanımıyla ilgili adımlar için proxy kılavuzuna göz atın.

Sonuç

İyi bir proxy gereklidir ama yeterli değildir. WebRTC, DNS ve UDP/QUIC trafiğinin proxy'den çıkması, saat dilimi ve dilin IP ile uyumlu olması ve proxy düştüğünde trafiğin kesilmesi gerekir. Ağ kimliği, cihaz parmak iziyle birlikte bir bütündür; ikisinden biri sızdığında diğerinin emeği boşa gider. Kalkan'ı indirip kendi proxy'lerinizle test edebilir, planları fiyatlar sayfasında karşılaştırabilirsiniz.