Ters proxy, dışarıdan gelen istekleri karşılayan ve bunları arka uçtaki sunuculara ileten aracı bileşendir. Klasik proxy istemci tarafında aracılık yaparken, ters proxy sunucu tarafında konumlanır. İstemciler doğrudan uygulama sunucusuna değil bu bileşene bağlanır. Bu yapı, arka uç sunucuların doğrudan erişilebilir olmamasını sağlar. Ayrıca yük dağıtımı, şifreleme sonlandırma ve içerik denetimi gibi işlevler bu katmanda toplanır. Mimari sadeleşir.

Güvenlik açısından en önemli katkısı, arka uç sunucuların gizlenmesidir. Saldırgan doğrudan uygulama sunucusuna ulaşamaz ve önce bu katmanı aşmak zorunda kalır. Ayrıca bu katmanda uygulanan filtreleme ve hız sınırlama, arka ucu birçok saldırıdan korur. Yavaş istek saldırıları bu katmanda sonlandırılır. Arka uç kaynakları korunur. Bu koruma yapısaldır.

Ters Proxy Nedir?

Ters proxy, istemcilerden gelen istekleri karşılayıp arka uçtaki uygulama sunucularına ileten ve yanıtları istemciye döndüren aracı bileşendir.

Bileşen genellikle şifreleme sonlandırma noktası olarak da kullanılır. İstemciyle arasındaki bağlantı şifreli kurulur, arka uçla iletişim ise iç ağda ve daha basit biçimde yapılabilir. Bu tasarım, sertifika yönetimini merkezîleştirir. Tek bir noktada sertifika yenilemek yeterli olur. Yönetim yükü belirgin biçimde azalır. Hata olasılığı düşer.

Güvenlik İşlevleri

Birinci işlev, istek filtrelemedir. Kötü biçimlendirilmiş, aşırı büyük ya da saldırı deseni taşıyan istekler arka uca hiç ulaşmadan engellenebilir. Bu filtreleme, uygulama güvenlik duvarı modülleriyle güçlendirilebilir. Web uygulama güvenlik duvarı çoğu zaman bu katmanda konumlanır. İki işlev birleşir. Mimari sadeleşir.

İkinci işlev, hız sınırlama ve bot denetimidir. Aynı kaynaktan gelen aşırı istekler sınırlanır ve otomatik trafik ayrıştırılır. Bu kontrol, kimlik bilgisi denemelerini ve tarama trafiğini azaltır. Eşik değerleri uygulamanın normal kullanımına göre ayarlanır. Aşırı katı eşikler meşru kullanıcıları etkiler. Denge kurulmalıdır.

Üçüncü işlev, arka uç sunucuların gizlenmesidir. Yanıt başlıklarında sunucu bilgisi paylaşılmaz ve iç adresler dışarı sızdırılmaz. Bu bilgi gizleme, saldırganın keşif çalışmasını zorlaştırır. Tek başına koruma sağlamaz ama maliyeti artırır. Yapılandırmanın parçası olmalıdır. Kontrol edilmelidir.

• İstek filtreleme ve uygulama güvenlik duvarı entegrasyonu
• Hız sınırlama ve otomatik trafik denetimi
• Şifreleme sonlandırma ve merkezî sertifika yönetimi
• Yük dağıtımı ve sağlık denetimi
• Arka uç sunucu bilgisinin gizlenmesi
• Yavaş istek saldırılarının sonlandırılması

Mimari Kararlar

Arka uç sunucuların yalnızca bu bileşen üzerinden erişilebilir olması sağlanmalıdır. Doğrudan erişim açık kalırsa, saldırgan katmanı atlayarak sunucuya bağlanabilir. Bu boşluk sık görülen bir yapılandırma hatasıdır. Ağ kuralları bu erişimi kısıtlamalıdır. Doğrulama testi yapılmalıdır. Varsayım yeterli değildir.

Gerçek istemci adresinin arka uca iletilmesi de yapılandırılmalıdır. Aksi hâlde uygulama kayıtlarında tüm istekler aracı bileşenin adresinden geliyormuş gibi görünür. Bu durum, olay incelemesini imkânsız kılar. İlgili başlıkların doğru ayarlanması gerekir. Ayrıca bu başlıkların taklit edilemez olması sağlanmalıdır. Güvenlik açısından önemlidir.

Bileşenin kendisi de sıkılaştırılmalıdır. Dışarıdan erişilebilir olduğu için öncelikli hedeftir. Gereksiz modüller kapatılmalı, yazılım güncel tutulmalı ve yönetim arayüzü kısıtlanmalıdır. Bu sistem, dışa açık bölgenin bir parçasıdır. DMZ kuralları burada da geçerlidir. İzleme kapsamı önceliklidir.

Yük Dağıtımı ve Erişilebilirlik

Bileşen, gelen istekleri birden çok arka uç sunucuya dağıtarak yük dengeleme sağlar. Sağlık denetimleriyle çalışmayan sunucular otomatik olarak devre dışı bırakılır. Bu yapı, tek bir sunucunun arızasında hizmetin sürmesini sağlar. Erişilebilirlik belirgin biçimde artar. Bakım çalışmaları da kesintisiz yapılabilir. Sunucular sırayla devre dışı bırakılır.

Oturum sürekliliği de bu katmanda yönetilir. Bir kullanıcının isteklerinin aynı arka uca yönlendirilmesi gerekiyorsa, bu davranış yapılandırılabilir. Ancak durumsuz tasarım tercih edilmelidir. Durumsuz uygulamalar daha kolay ölçeklenir ve daha dayanıklıdır. Mimari karar erken alınmalıdır. Sonradan değiştirmek zordur.

Bileşenin kendisi de yedekli olmalıdır. Tek bir aracı bileşen, tüm hizmetin tek başarısızlık noktası hâline gelir. İki bileşenin birlikte çalışması bu riski ortadan kaldırır. Yedekliliğin gerçekten çalıştığı sınanmalıdır. Test planlanmalıdır. Varsayım yeterli değildir.

Yapılandırma Denetimi

Bu katmanda yapılan yapılandırma hataları doğrudan güvenlik sonucu üretir. Yanlış tanımlanmış bir yönlendirme kuralı, iç bir servisi dışarıya açabilir. Bu tür hatalar dış taramalarla tespit edilebilir. Düzenli tarama önerilir. Yeni tanımlar hızla fark edilir. Otomasyon mümkündür.

Yapılandırmanın kod olarak tutulması da önerilir. Değişiklikler sürüm kontrolünden geçer ve incelemeye tabi olur. Bu yapı, hatalı değişikliklerin üretime çıkmasını azaltır. Ayrıca geri alma kolaylaşır. Kod olarak altyapı disiplini burada da uygulanır. Otomasyon değer üretir.

Mikro Hizmet Mimarilerinde Kullanımı

Mikro hizmet mimarilerinde bu bileşen, tüm dış isteklerin girdiği tek kapı olarak konumlanır. Kimlik doğrulama, yetkilendirme, hız sınırlama ve yönlendirme bu kapıda yapılır. Böylece her hizmetin bu işlevleri ayrı ayrı uygulaması gerekmez. Merkezîleşme hem tutarlılık hem bakım kolaylığı sağlar. Buna karşılık kapı, kritik bir bileşen hâline gelir. Yedeklilik zorunludur.

Kapının arkasındaki hizmetler arası iletişim de ayrıca korunmalıdır. Kapıdan geçen bir istek, iç ağda serbestçe dolaşmamalıdır. Servisler arası kimlik doğrulama bu koruma sağlar. Servis ağında karşılıklı doğrulama bu amaçla kullanılır. İki katman birlikte çalışır. Tasarım bütünsel olmalıdır.

Kapının yapılandırması da sürüm kontrolünde tutulmalıdır. Yönlendirme kuralları ve politika tanımları kod olarak yönetildiğinde inceleme ve geri alma kolaylaşır. Hatalı bir kural, iç bir servisi dışarıya açabilir. Bu risk, inceleme süreciyle azaltılır. Otomatik testler de eklenebilir. Kalite artar.

Sertifika ve Şifreleme Yönetimi

Şifreleme sonlandırmanın bu katmanda yapılması, sertifika yönetimini merkezîleştirir. Tek bir noktada sertifika yenilemek yeterli olur ve arka uç sunucularda sertifika bulundurulmaz. Bu sadeleşme, süresi dolmuş sertifika kaynaklı kesintileri azaltır. Otomatik yenileme kurulabilir. Otomatik sertifika yönetimi bu yükü ortadan kaldırır. Uygulaması yaygındır.

Arka uçla iletişimin de şifrelenmesi tercih edilebilir. İç ağ güvenilir kabul edilse bile, şifreleme ek bir katman sağlar. Bu tercih, sıfır güven yaklaşımıyla uyumludur. Performans etkisi modern donanımlarda sınırlıdır. Karar risk temelli verilir. Kritik ortamlarda önerilir.

Şifreleme yapılandırmasının güncel tutulması da gereklidir. Eski protokol sürümleri ve zayıf şifre takımları devre dışı bırakılmalıdır. Bu yapılandırma dönemsel gözden geçirilir. Standartlar zamanla değişir. Otomatik tarama araçları bu denetimi yapabilir. Sonuçlar raporlanır.

Privia Security olarak uygulama önündeki katmanların yapılandırmasını altyapı ve mimari gözden geçirme kapsamında inceliyoruz.