Engellenen Portlar

Hangi port engelleniyor?

Ağ bağlantı noktası, bir ağ adresindeki hizmetleri ayırt etmek için kullanılan bir numaradır. Aynı sunucu bir portta web bağlantılarını, farklı bir portta ise başka bir uygulamanın bağlantılarını kabul edebilir. Uygulamanın sunucu adresine, uygun porta ve kullanılan taşıma protokolüne, yani TCP veya UDP’ye ihtiyacı vardır.

Proxy bağlantısında iki ayrı hedef bulunur. Önce uygulamanız sağlayıcının verdiği adres ve port üzerinden proxy sunucusuna bağlanır. Ardından proxy sunucusundan hedef sunucunun adresine ve portuna ulaşmasını ister. Proxy ayarlarınızdaki port ilk adıma aittir; hedef port kısıtlaması ise ikinci adıma uygulanır.

Örneğin program proxy.example:1080 adresine bağlanıp portal.example:443 adresini isteyebilir. Aynı proxy giriş noktası, mail.example:587 için de istek alabilir. Sağlayıcı ilk hedef porta izin verip ikincisini engelliyorsa web bağlantısı başarılı olurken posta bağlantısı reddedilebilir.

Bu kısıtlamalar, proxy sunucusundan dış hizmetlere giden bağlantılarla ilgilidir. Böyle bir bağlantıya izin verilmesi, bilgisayarınızdaki uygulamaya diğer internet kullanıcılarının ulaşabileceği bir gelen bağlantı portu sağlamaz. Gelen bağlantılar için port yönlendirme ayrı bir özelliktir.

Sağlayıcılar portları neden kısıtlar?

En açık neden, belirli bir hizmetin kötüye kullanılmasını önlemektir. Posta sunucularına doğrudan erişim, spam kampanyalarında kullanılabilir. Şikâyetler ve gönderici engelleme listeleri, trafiği taşıyan IP adreslerini etkiler; bu nedenle sonuçlar mesajları gönderen müşterinin ötesine geçebilir. Sağlayıcı, hiçbir mesaj iletilmeden önce e-posta gönderiminde kullanılan portlara bağlantıyı reddederek bu riski azaltabilir.

Benzer gerekçeler uzaktan yönetim, dosya paylaşımı veya veritabanı hizmetleri için de geçerli olabilir. Sağlayıcı, yetkisiz oturum açma girişimlerini ve diğer saldırıları azaltmak için bu hizmetlerle ilişkili portlara erişimi kısıtlayabilir. Kısıtlama bağlantının kendisine uygulanır: meşru bir yönetici de bu ürün üzerinden kendi sunucusuna ulaşamayabilir.

Kural her zaman proxy satıcısından kaynaklanmaz. Barındırma şirketi veya ağ işletmecisi, proxy sunucusunun kullandığı altyapıdan çıkan bağlantıları filtreleyebilir. Proxy yazılımının kendi izni, yolun daha ilerisinde uygulanan bir kısıtlamayı geçersiz kılamaz.

Port filtresi geniş kapsamlı bir önlemdir. Her mesajı incelemeden veya her bir işlemin meşru olup olmadığına karar vermeden istenmeyen trafiği durdurabilir; ancak aynı porta ihtiyaç duyan yararlı uygulamaları da sınırlar. Bu denge, sağlayıcının makul bir görevi olan ücretli müşteri için bile portu neden kapalı tutabileceğini açıklar.

Port erişim kuralları nasıl çalışır?

İki temel yaklaşım vardır. Engellenenler listesi, müşterilerin kullanamayacağı portları belirtir; diğer bağlantılar hizmetin kalan kurallarına göre değerlendirilir. İzin verilenler listesi ters yönde çalışır: sağlayıcı belirli bir port kümesine izin verir ve kalanını reddeder. İkinci modelde, standart dışı bir porttaki olağan web uygulaması sırf portu izin verilen kümenin dışında olduğu için kullanılamaz olabilir.

Bir kural, tüm dış adreslerdeki bir portu kapsayabilir veya portu belirli bir hedefle birleştirebilir. Sağlayıcılar farklı ürünlere veya onaylanmış kullanımlara farklı kurallar da uygulayabilir. Bu nedenle bir ağ üzerinden erişim, aynı şirketin sattığı başka bir ürünün izinlerini göstermez.

Hedef port kuralını uygulamak için proxy sunucusunun uygulama trafiğinin şifresini çözmesi gerekmez. HTTP CONNECT isteğinde istemci, hedef sunucuyu ve portu sağlar. SOCKS5 de bağlantı isteğinde istenen hedefi taşır. Proxy sunucusu, hedef sunucuyla korumalı oturum başlamadan önce bu isteği reddedebilir.

Aynı port numarasını kullanan TCP ve UDP trafiğine ayrı ayrı izin verilebilir veya bunlar ayrı ayrı engellenebilir. TCP 443 portuna başarılı bir bağlantı, UDP 443 portunun kullanılabilir olduğunu kanıtlamaz. Başka bir olasılık daha vardır: seçilen proxy ürünü UDP’yi hiç taşımıyor olabilir. Bu durumda sınırlama belirli bir UDP portuyla değil, taşıma protokolüyle ilgilidir.

Port numarası tek başına uygulamanın ne yaptığını da kanıtlamaz. Hizmetler standart dışı portlarda çalışabilir ve bir numaraya izin verilmesi, onun her kullanımını kabul edilebilir kılmaz. Sağlayıcılar port filtrelerini hedef kısıtlamaları ve etkinliğin kendisine ilişkin kurallarla birleştirebilir.

Bu durum uygulamalar için neyi değiştirir?

Uygulamalar bağlantıları belirli işlevler için kullanır. Tarayıcı testi, kurduğu web bağlantısını kontrol eder; başka bir programın ihtiyaç duyabileceği her bağlantıyı denemez. Aşağıdaki örnekler, port kısıtlamasının diğer yönlerden çalışan bir hizmeti nasıl etkileyebileceğini gösterir.

E-posta, bu ayrımı özellikle iyi gösterir. Posta uygulaması giden mesajları genellikle 587 veya 465 portundan posta sunucusuna gönderir. Port 465, TLS şifrelemesiyle başlar; port 587 ise şifreleme kurmak için yaygın olarak STARTTLS kullanır. Port kısıtlaması, mesaj gönderilmeden önce her iki bağlantıyı da önleyebilir. Şifreleme alışverişi korur, ancak sağlayıcının erişim kuralını kaldırmaz.

Web postası arayüzünde tarayıcı HTTPS üzerinden web sitesiyle iletişim kurar ve teslimatı posta hizmeti gerçekleştirir. Tarayıcı, proxy sunucusundan aynı SMTP bağlantısını kurmasını istemez. Bu nedenle SMTP erişimi engellenmişken web posta kutusu kullanılabilir kalabilir. Ayrı bir uygulamada posta almak ise yine başka bir bağlantıdır: IMAP veya POP erişimi, gönderimden ayrı değerlendirilmelidir.

FTP, yalnızca oturum açmayı test etmenin neden bir sorunu gözden kaçırabileceğini gösterir. Pasif modda istemci önce bir bağlantı üzerinden komut gönderir, ardından veri aktarmak için sunucunun belirttiği porta bağlanır. İkinci bağlantı kısıtlanmışsa kimlik doğrulama çalışırken dosya listesi veya indirme başarısız olabilir. Oturum açma, ses veya dosya alışverişi için ayrı bağlantıları olan uygulamalarda da benzer kısmi hatalar görülebilir.

Proxy ayarlarını değiştirmek neden işe yaramayabilir?

Proxy ayarlarınızdaki giriş portunu değiştirmek, uygulamanızın proxy sunucusuna nereden ulaştığını değiştirir. Dış hizmet için istenen hedef portu değiştirmez. Sağlayıcı 443 portunda bir giriş noktası sunuyorsa oraya bağlanmanız, posta sunucusunun 587 portuna yönelik isteği posta portu kısıtlamasından çıkarmaz.

HTTP proxy’den SOCKS5’e geçmek, uygulama yeni bağlantı yönteminin desteklediği bir özelliğe ihtiyaç duyduğunda uyumluluk sorununu çözebilir. Bu, tek başına sağlayıcının kurallarını iptal etmez. SOCKS5, TCP bağlantılarının ve UDP iletiminin nasıl isteneceğini tanımlar; bu isteklerden hangilerini kabul edeceğine hizmet karar verir.

Çıkış IP adresini değiştirmek de ürün genelindeki kısıtlamayı yürürlükte bırakır. Hatanın belirli bir dış ağdan kaynaklandığı durumlarda farklı bir yol farklı davranabilir; ancak rotasyon, ürünün tamamına uygulanan bir kuralı kaldırmanın yolu değildir. Daha fazla IP veya daha büyük trafik kotası da bu izni değiştirmez.

Port kısıtlaması nasıl belirlenir?

En yararlı kanıt, istenen hedef porta izin verilmediğini açıkça belirten sağlayıcı yanıtıdır. Genel bir erişim reddedildi mesajı daha az kesindir. Örneğin kural kümesince reddedilen bir istek için SOCKS5 yanıtı, politika nedeniyle reddedildiğini belirtir, ancak buna hangi kuralın yol açtığını söylemez. Tek başına zaman aşımı veya bağlantı sıfırlaması daha da zayıf kanıttır.

Hedef sunucuda o portu dinleyen bir hizmet bulunmayabilir, sunucu yalnızca belirli kaynak adreslerini kabul ediyor olabilir veya geçici olarak kullanılamıyor olabilir. Uygulama ayrıca yanlış protokolü kullanıyor ya da trafiğin bir bölümünü yapılandırılmış proxy sunucusunun dışından gönderiyor olabilir. Başarılı tek bir web isteğini kontrol etmek, bu nedenleri başka bir bağlantıyı etkileyen kısıtlamadan ayıramaz.

Yararlı bir destek talebi için proxy ürününü, hedef sunucu adını veya IP adresini, portunu, TCP mi UDP mi olduğunu, uygulamayı ve deneme zamanı ile birlikte hatanın tam metnini sağlayın. Bu ayrıntılar, desteğin yalnızca proxy sunucusunun çevrimiçi olduğunu doğrulamak yerine ilgili bağlantıyı kontrol etmesini sağlar. Planlanan bir satın almada aynı bilgiler, ürünün görevi destekleyip desteklemediğini belirlemeye yardımcı olur.

Sağlayıcının istisnalara izin verdiği durumlarda onay, gerekli hedefi ve kullanımı tanımlamalıdır. Bazı kısıtlamalar kalıcıdır veya sağlayıcının kontrol etmediği altyapıdan kaynaklanır. Yararlı soru, belirli bağlantının hizmet kuralları kapsamında desteklenip desteklenemeyeceğidir; “tüm portları açma” talebi hem gereksinimi hem de sınırları belirsiz bırakır.