Squid forward-proxy kullan\u0131rken a\u011f g\u00fcvenli\u011finizi en \u00fcst d\u00fczeye \u00e7\u0131karmak i\u00e7in Eri\u015fim Kontrol Listesi (ACL) s\u0131ralamas\u0131n\u0131n ve varsay\u0131lan kapal\u0131 politikan\u0131n neden hayati oldu\u011funu merak m\u0131 ediyorsunuz? Bu makale, yanl\u0131\u015f yap\u0131land\u0131rmalar\u0131n yol a\u00e7abilece\u011fi riskleri ve do\u011fru g\u00fcvenlik stratejilerini ad\u0131m ad\u0131m a\u00e7\u0131kl\u0131yor. A\u011f y\u00f6neticilerinin en s\u0131k kar\u015f\u0131la\u015ft\u0131\u011f\u0131 g\u00fcvenlik a\u00e7\u0131klar\u0131 genellikle yanl\u0131\u015f yap\u0131land\u0131r\u0131lm\u0131\u015f proxy sunucular\u0131ndan kaynaklan\u0131r ve Squid, bu ba\u011flamda do\u011fru yap\u0131land\u0131r\u0131ld\u0131\u011f\u0131nda g\u00fc\u00e7l\u00fc bir kalkan, yanl\u0131\u015f yap\u0131land\u0131r\u0131ld\u0131\u011f\u0131nda ise potansiyel bir zafiyet kayna\u011f\u0131 olabilir. G\u00fcvenli bir a\u011f ortam\u0131 olu\u015fturmak, sadece g\u00fcvenlik duvarlar\u0131 ve antivir\u00fcs yaz\u0131l\u0131mlar\u0131 ile s\u0131n\u0131rl\u0131 kalmay\u0131p, a\u011f\u0131n her katman\u0131ndaki bile\u015fenlerin do\u011fru yap\u0131land\u0131r\u0131lmas\u0131n\u0131 gerektirir. \u0130\u015fte bu noktada, bir forward-proxy olarak Squid’in rol\u00fc ve \u00f6zellikle ACL’lerin do\u011fru uygulanmas\u0131 kritik bir \u00f6nem ta\u015f\u0131r.<\/p>\n
Squid, HTTP, HTTPS, FTP ve di\u011fer a\u011f protokolleri i\u00e7in bir \u00f6nbellekleme (caching) ve iletme (forwarding) proxy sunucusudur. Genellikle a\u011f trafi\u011fini optimize etmek, bant geni\u015fli\u011fi kullan\u0131m\u0131n\u0131 azaltmak ve eri\u015fim kontrol\u00fc sa\u011flamak amac\u0131yla kullan\u0131l\u0131r. Bir forward-proxy olarak, kullan\u0131c\u0131lar\u0131n internete eri\u015fim taleplerini al\u0131r, bu talepleri kendi \u00fczerinden ge\u00e7irir ve yan\u0131tlar\u0131 kullan\u0131c\u0131lara geri iletir. Bu s\u00fcre\u00e7, Squid’e a\u011f trafi\u011fi \u00fczerinde kapsaml\u0131 bir kontrol yetene\u011fi kazand\u0131r\u0131r. Ancak bu kontrol yetene\u011fi, ayn\u0131 zamanda b\u00fcy\u00fck bir sorumlulu\u011fu da beraberinde getirir.<\/p>\n
Squid’in a\u011f g\u00fcvenli\u011findeki kritik rol\u00fc birka\u00e7 ana ba\u015fl\u0131k alt\u0131nda toplanabilir:<\/p>\n
Yanl\u0131\u015f yap\u0131land\u0131r\u0131lm\u0131\u015f bir Squid proxy’si ise bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131na d\u00f6n\u00fc\u015febilir. \u00d6rne\u011fin, yanl\u0131\u015fl\u0131kla genel internetten proxy sunucusuna eri\u015fime izin verilmesi, sunucunun bir a\u00e7\u0131k proxy (open proxy) haline gelmesine ve k\u00f6t\u00fc niyetli ki\u015filer taraf\u0131ndan anonim sald\u0131r\u0131lar d\u00fczenlemek veya spam g\u00f6ndermek i\u00e7in kullan\u0131lmas\u0131na neden olabilir. Bu durum, kurumunuzun IP adresinin kara listelere girmesine ve itibar kayb\u0131na yol a\u00e7abilir. Dolay\u0131s\u0131yla, Squid’in yap\u0131land\u0131rma dosyas\u0131 olan Eri\u015fim Kontrol Listeleri (ACL’ler), Squid proxy sunucusunun g\u00fcvenlik politikas\u0131n\u0131 tan\u0131mlayan temel bile\u015fenlerdir. ACL’ler, belirli ko\u015fullar\u0131 tan\u0131mlayan kurallar setidir ve bu ko\u015fullar, gelen bir iste\u011fin (request) belirli bir \u00f6zelli\u011fiyle e\u015fle\u015fip e\u015fle\u015fmedi\u011fini kontrol etmek i\u00e7in kullan\u0131l\u0131r. Squid, bir iste\u011fi i\u015flerken bu ACL’leri de\u011ferlendirir ve hangi eri\u015fim kurallar\u0131n\u0131n uygulanaca\u011f\u0131na karar verir. ACL’ler olmadan, Squid ya herkese tam eri\u015fim sa\u011flar ya da kimseye eri\u015fim izni vermezdi ki bu da pratik ve g\u00fcvenli bir \u00e7\u00f6z\u00fcm olmazd\u0131.<\/p>\n Squid’de bir\u00e7ok farkl\u0131 ACL t\u00fcr\u00fc bulunur ve her biri belirli bir kriteri kontrol etmek i\u00e7in tasarlanm\u0131\u015ft\u0131r. \u0130\u015fte en yayg\u0131n kullan\u0131lan ACL t\u00fcrlerinden baz\u0131lar\u0131:<\/p>\n Bu kural, 192.168.1.0\/24 a\u011f\u0131ndaki t\u00fcm IP adreslerini “localnet” olarak tan\u0131mlar.\n <\/li>\n Bu, dahili sunucu a\u011f\u0131n\u0131 tan\u0131mlar.\n <\/li>\n Bu kural, sosyal medya sitelerini tan\u0131mlar.\n <\/li>\n Bu kural, g\u00fcvenli olarak kabul edilen portlar\u0131 listeler.\n <\/li>\n Bu kural, URL’lerde belirli anahtar kelimeleri arar.\n <\/li>\n Bu kural, hafta i\u00e7i mesai saatlerini tan\u0131mlar.\n <\/li>\n ACL’ler tek ba\u015flar\u0131na bir \u015fey yapmazlar; ancak ACL’lerin etkin bir \u015fekilde kullan\u0131lmas\u0131, a\u011f y\u00f6neticilerine kullan\u0131c\u0131lar\u0131n internet eri\u015fimini detayl\u0131 bir \u015fekilde kontrol etme, istenmeyen i\u00e7erikleri filtreleme ve potansiyel g\u00fcvenlik tehditlerini azaltma yetene\u011fi sa\u011flar. Ancak bu g\u00fcc\u00fcn do\u011fru bir \u015fekilde kullan\u0131lmas\u0131, ACL’lerin s\u0131ralamas\u0131na ve genel g\u00fcvenlik politikas\u0131na s\u0131k\u0131 s\u0131k\u0131ya ba\u011fl\u0131 kalmay\u0131 gerektirir. Yanl\u0131\u015f bir s\u0131ralama veya eksik bir varsay\u0131lan kural, t\u00fcm g\u00fcvenlik \u00e7abalar\u0131n\u0131z\u0131 bo\u015fa \u00e7\u0131karabilir ve a\u011f\u0131n\u0131z\u0131 savunmas\u0131z b\u0131rakabilir. Bu nedenle, ACL’lerinizi tan\u0131mlarken ve Squid’deki Eri\u015fim Kontrol Listeleri (ACL’ler) ve bunlara ba\u011fl\u0131 Bu s\u0131ralama mant\u0131\u011f\u0131, g\u00fcvenlik politikalar\u0131n\u0131z\u0131 tasarlarken stratejik d\u00fc\u015f\u00fcnmeyi gerektirir. \u00d6rne\u011fin, belirli bir zararl\u0131 web sitesine eri\u015fimi tamamen engellemek isteyebilirsiniz, ancak ayn\u0131 zamanda genel internet eri\u015fimine de izin vermeniz gerekmektedir. E\u011fer zararl\u0131 siteyi engelleyen kural, genel eri\u015fime izin veren kuraldan sonra gelirse, zararl\u0131 siteye eri\u015fim zaten genel izin kural\u0131 taraf\u0131ndan sa\u011flanm\u0131\u015f olaca\u011f\u0131ndan, engelleme kural\u0131 hi\u00e7bir zaman tetiklenmeyecektir.<\/p>\n Bu durumun \u00f6nemini daha iyi anlamak i\u00e7in bir vaka analizi yapal\u0131m:<\/p>\n Vaka Analizi: X \u015eirketi ve Yanl\u0131\u015f ACL S\u0131ralamas\u0131<\/strong><\/p>\n X \u015eirketi, \u00e7al\u0131\u015fanlar\u0131n\u0131n internet eri\u015fimini kontrol etmek ve verimlili\u011fi art\u0131rmak amac\u0131yla bir Squid proxy sunucusu kurdu. G\u00fcvenlik ekibi, belirli sosyal medya sitelerine (Facebook, Twitter vb.) ve e\u011flence sitelerine (YouTube, Netflix vb.) \u00e7al\u0131\u015fma saatleri i\u00e7inde eri\u015fimi engellemek istedi. Ayr\u0131ca, a\u011fdaki belirli geli\u015ftirici ekibine, ara\u015ft\u0131rma ama\u00e7l\u0131 olarak baz\u0131 teknik forumlara ve yaz\u0131l\u0131m depolar\u0131na tam eri\u015fim sa\u011flamalar\u0131 gerekiyordu.<\/p>\n Yap\u0131land\u0131rma dosyas\u0131 \u0130lk bak\u0131\u015fta mant\u0131kl\u0131 gibi g\u00f6r\u00fcnen bu yap\u0131land\u0131rmada, asl\u0131nda kritik bir g\u00fcvenlik ve eri\u015fim hatas\u0131 bulunmaktad\u0131r. \u00c7al\u0131\u015fanlar, sosyal medya ve e\u011flence sitelerine sorunsuz bir \u015fekilde eri\u015fmeye devam etti. G\u00fcvenlik ekibi, yap\u0131land\u0131rmay\u0131 defalarca kontrol etmesine ra\u011fmen hatay\u0131 bulamad\u0131. Sorun, ACL s\u0131ralamas\u0131ndayd\u0131.<\/p>\n * Kural 5 ( Squid, bir istek geldi\u011finde (\u00f6rne\u011fin, bir \u00e7al\u0131\u015fan Facebook’a eri\u015fmek istedi\u011finde), \u00f6nce Kural 5’e bak\u0131yordu. \u00c7al\u0131\u015fan Do\u011fru ACL S\u0131ralamas\u0131 Nas\u0131l Olmal\u0131yd\u0131?<\/strong><\/p>\n Do\u011fru yakla\u015f\u0131m, daha k\u0131s\u0131tlay\u0131c\u0131 veya \u00f6zel kurallar\u0131, daha genel kurallardan \u00f6nce yerle\u015ftirmektir. Yani, engelleme kurallar\u0131 genellikle izin verme kurallar\u0131ndan \u00f6nce gelmelidir.<\/p>\n Bu yeni s\u0131ralamada: Bu \u00f6rnek, ACL s\u0131ralamas\u0131n\u0131n, bir g\u00fcvenlik politikas\u0131n\u0131n ba\u015far\u0131l\u0131 bir \u015fekilde uygulanmas\u0131nda ne kadar kritik oldu\u011funu net bir \u015fekilde g\u00f6stermektedir. Yanl\u0131\u015f bir s\u0131ralama, fark\u0131nda olmadan a\u011f\u0131n\u0131z\u0131 ciddi risklere a\u00e7abilir veya uygulad\u0131\u011f\u0131n\u0131z politikalar\u0131 tamamen etkisiz hale getirebilir. Bu nedenle, Squid yap\u0131land\u0131rmalar\u0131n\u0131z\u0131 her zaman dikkatlice planlamal\u0131, test etmeli ve en k\u0131s\u0131tlay\u0131c\u0131 kurallar\u0131 en ba\u015fa, en genel kurallar\u0131 ise sona do\u011fru yerle\u015ftirmelisiniz.<\/p>\n A\u011f g\u00fcvenli\u011findeki en temel ve en g\u00fc\u00e7l\u00fc prensiplerden biri “varsay\u0131lan kapal\u0131” (default deny) veya “a\u00e7\u0131k\u00e7a izin verilmeyen her \u015fey yasakt\u0131r” politikas\u0131d\u0131r. Bu prensip, bir sistemin veya a\u011f\u0131n, a\u00e7\u0131k\u00e7a izin verilmeyen t\u00fcm eylemleri veya eri\u015fim giri\u015fimlerini otomatik olarak reddetmesi gerekti\u011fini savunur. Squid proxy ba\u011flam\u0131nda, bu, yap\u0131land\u0131rma dosyan\u0131zdaki Peki, neden bu kadar \u00f6nemlidir?<\/p>\n Gelin, bu politikan\u0131n \u00f6nemini ve nas\u0131l uygulanaca\u011f\u0131n\u0131 detayland\u0131ral\u0131m:<\/p>\n Uygulama: \u00d6rnek bir yap\u0131land\u0131rma:<\/p>\n Bu \u00f6rnekte, Vaka Analizi: Banka A\u011f\u0131 ve Varsay\u0131lan Kapal\u0131 Politikas\u0131<\/strong><\/p>\n Bir bankan\u0131n i\u00e7 a\u011f\u0131nda, y\u00fcksek g\u00fcvenlik standartlar\u0131 gereklidir. Banka, \u00e7al\u0131\u015fanlar\u0131n\u0131n sadece onaylanm\u0131\u015f ve i\u015f ile ilgili web sitelerine eri\u015fmesine izin veren bir Squid proxy kullanmaktad\u0131r. E\u011fer Banka, Sonu\u00e7 olarak, varsay\u0131lan kapal\u0131 politikas\u0131, Squid proxy g\u00fcvenli\u011finin temel dire\u011fidir. Her zaman Squid’in g\u00fcc\u00fcn\u00fc tam olarak kullanmak ve a\u011f\u0131n\u0131z\u0131n g\u00fcvenli\u011fini sa\u011flamak i\u00e7in ACL’leri ve A\u015fa\u011f\u0131daki \u00f6rnekte, tipik bir \u015firket a\u011f\u0131nda kar\u015f\u0131la\u015f\u0131labilecek ihtiya\u00e7lar\u0131 ele alaca\u011f\u0131z:<\/p>\n \u0130\u015fte Yap\u0131land\u0131rma Ad\u0131mlar\u0131 ve A\u00e7\u0131klamalar:<\/strong><\/p>\n 1. ACL Tan\u0131mlar\u0131:<\/strong> \u00d6ncelikle, eri\u015fim politikam\u0131z i\u00e7in gerekli olan t\u00fcm ko\u015fullar\u0131 Test ve Do\u011frulama:<\/strong><\/p>\n Yap\u0131land\u0131rma de\u011fi\u015fikliklerinden sonra, Squid servisini yeniden ba\u015flatmadan \u00f6nce Yeniden ba\u015flatman\u0131n ard\u0131ndan, farkl\u0131 kullan\u0131c\u0131 gruplar\u0131ndan (\u00f6rne\u011fin, normal bir kullan\u0131c\u0131 ve bir y\u00f6netici) ve farkl\u0131 sitelere (yasakl\u0131, izinli, bilinmeyen) eri\u015fim denemeleri yaparak yeni g\u00fcvenlik politikan\u0131z\u0131n beklendi\u011fi gibi \u00e7al\u0131\u015f\u0131p \u00e7al\u0131\u015fmad\u0131\u011f\u0131n\u0131 test edin. Bu test s\u00fcreci, olas\u0131 yanl\u0131\u015f yap\u0131land\u0131rmalar\u0131 veya g\u00f6zden ka\u00e7an detaylar\u0131 ortaya \u00e7\u0131karacakt\u0131r. Unutmay\u0131n, g\u00fcvenlik s\u00fcrekli bir s\u00fcre\u00e7tir ve yap\u0131land\u0131rmalar\u0131n\u0131z\u0131 d\u00fczenli olarak g\u00f6zden ge\u00e7irmek ve g\u00fcncellemek \u00f6nemlidir.<\/p>\n Squid’in ACL sistemi olduk\u00e7a esnektir ve basit IP tabanl\u0131 kontrollerin \u00f6tesinde geli\u015fmi\u015f g\u00fcvenlik senaryolar\u0131n\u0131 destekler. Ancak bu esneklik, yanl\u0131\u015f yap\u0131land\u0131rma riskini de beraberinde getirir. Bu b\u00f6l\u00fcmde, daha karma\u015f\u0131k g\u00fcvenlik ihtiya\u00e7lar\u0131n\u0131 kar\u015f\u0131lamak i\u00e7in kullanabilece\u011finiz baz\u0131 ileri d\u00fczey ACL tekniklerine ve s\u0131k yap\u0131lan hatalardan nas\u0131l ka\u00e7\u0131nabilece\u011finize odaklanaca\u011f\u0131z.<\/p>\n 1. D\u0131\u015f ACL T\u00fcrleri ( Bu, kullan\u0131c\u0131 baz\u0131nda eri\u015fim kontrol\u00fc sa\u011flamak i\u00e7in \u00e7ok g\u00fc\u00e7l\u00fc bir y\u00f6ntemdir ve IP adresleri s\u00fcrekli de\u011fi\u015fen mobil cihazlar veya uzaktan \u00e7al\u0131\u015fanlar i\u00e7in idealdir.<\/p>\n 2. Zaman Tabanl\u0131 ACL’ler ( Bu \u00f6rnekte, 3. URL Yeniden Yazma Programlar\u0131 ( 1. 2. 3. \u00d6rt\u00fc\u015fen ACL’ler ve Beklenmedik Davran\u0131\u015flar:<\/strong> 4. Yap\u0131land\u0131rmay\u0131 Test Etmemek:<\/strong> 5. ACL’leri Yetersiz Tan\u0131mlamak:<\/strong> 6. G\u00fcvenlik G\u00fcncellemelerini \u0130hmal Etmek:<\/strong> Bu ileri d\u00fczey teknikler ve dikkat edilmesi gereken noktalar, Squid’in sadece bir \u00f6nbellekleme arac\u0131 olmaktan \u00f6te, a\u011f g\u00fcvenli\u011finiz i\u00e7in g\u00fc\u00e7l\u00fc bir eri\u015fim kontrol mekanizmas\u0131 oldu\u011funu g\u00f6stermektedir. Do\u011fru uygulama ve s\u00fcrekli dikkat ile Squid, a\u011f\u0131n\u0131z\u0131 bir\u00e7ok tehdide kar\u015f\u0131 koruyabilir.<\/p>\n ACL s\u0131ralamas\u0131n\u0131n ve varsay\u0131lan kapal\u0131 politikas\u0131n\u0131n \u00f6nemini vurgulamak i\u00e7in, ger\u00e7ek hayattan esinlenilmi\u015f bir vaka analizi sunal\u0131m. Bu senaryo, basit bir hatan\u0131n bir \u015firketin itibar\u0131n\u0131 ve finansal durumunu nas\u0131l tehlikeye atabilece\u011fini g\u00f6stermektedir.<\/p>\n Vaka: “Tekno\u00c7\u00f6z\u00fcm A.\u015e.” ve A\u00e7\u0131k Proxy Facias\u0131<\/strong><\/p>\n Tekno\u00c7\u00f6z\u00fcm A.\u015e., orta \u00f6l\u00e7ekli bir yaz\u0131l\u0131m geli\u015ftirme \u015firketidir. Geli\u015ftiricilerin internet eri\u015fimini optimize etmek ve bant geni\u015fli\u011fini korumak amac\u0131yla bir Squid proxy sunucusu kurmaya karar verdiler. \u015eirketin yeni ba\u015flayan bir sistem y\u00f6neticisi olan Can, Can’\u0131n ilk Can, yap\u0131land\u0131rman\u0131n yeterli oldu\u011funu d\u00fc\u015f\u00fcnd\u00fc. \u015eirket i\u00e7inden sosyal medya eri\u015fimi mesai saatleri i\u00e7inde engelleniyordu ve genel internet eri\u015fimi sa\u011flan\u0131yordu. Ancak Can’\u0131n g\u00f6zden ka\u00e7\u0131rd\u0131\u011f\u0131 kritik bir nokta vard\u0131: Felaketin Ba\u015flang\u0131c\u0131:<\/strong><\/p>\n Birka\u00e7 hafta sonra, Tekno\u00c7\u00f6z\u00fcm A.\u015e.’nin IT ekibi, \u015firket IP adreslerinin \u00e7e\u015fitli spam ve k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m da\u011f\u0131t\u0131m\u0131 kara listelerine girdi\u011fini fark etti. Ayr\u0131ca, \u015firket a\u011f\u0131 \u00fczerinden kaynakland\u0131\u011f\u0131 anla\u015f\u0131lan yo\u011fun ve \u015f\u00fcpheli d\u0131\u015f a\u011f trafi\u011fi raporlar\u0131 almaya ba\u015flad\u0131lar. \u015eirketin internet ba\u011flant\u0131s\u0131 yava\u015flam\u0131\u015f, hatta baz\u0131 durumlarda tamamen kesintiye u\u011fram\u0131\u015ft\u0131.<\/p>\n Yap\u0131lan detayl\u0131 incelemede, Can’\u0131n yap\u0131land\u0131rd\u0131\u011f\u0131 Squid proxy sunucusunun bir “a\u00e7\u0131k proxy” (open proxy) haline geldi\u011fi anla\u015f\u0131ld\u0131. K\u00f6t\u00fc niyetli akt\u00f6rler, internet \u00fczerinde port taramas\u0131 yaparak Tekno\u00c7\u00f6z\u00fcm A.\u015e.’nin Squid proxy sunucusunu ke\u015ffetmi\u015f ve onu, IP adreslerini gizleyerek spam g\u00f6ndermek, kimlik av\u0131 sald\u0131r\u0131lar\u0131 d\u00fczenlemek ve hatta DDoS sald\u0131r\u0131lar\u0131na kat\u0131lmak i\u00e7in kullanmaya ba\u015flam\u0131\u015ft\u0131. \u015eirket, fark\u0131nda olmadan k\u00f6t\u00fc niyetli faaliyetlerin bir par\u00e7as\u0131 haline gelmi\u015fti.<\/p>\n Y\u0131k\u0131c\u0131 Sonu\u00e7lar:<\/strong><\/p>\nsquid.conf<\/code> i\u00e7indeki her bir kural\u0131n, \u00f6zellikle de ACL’lerin ve http_access<\/code> direktiflerinin titizlikle g\u00f6zden ge\u00e7irilmesi ve do\u011fru bir \u015fekilde uygulanmas\u0131 b\u00fcy\u00fck \u00f6nem ta\u015f\u0131r. G\u00fcvenli bir Squid yap\u0131land\u0131rmas\u0131, a\u011f\u0131n\u0131z\u0131 d\u0131\u015f tehditlere kar\u015f\u0131 korurken, i\u00e7 a\u011f politikalar\u0131n\u0131za uygun bir internet eri\u015fimi sa\u011flaman\u0131n temelini olu\u015fturur.<\/p>\nEri\u015fim Kontrol Listeleri (ACL’ler): Squid’in G\u00fcvenlik Kalkan\u0131 Nas\u0131l \u00c7al\u0131\u015f\u0131r?<\/h3>\n
\n
src<\/code> (Kaynak IP Adresi):<\/strong> Bu ACL t\u00fcr\u00fc, iste\u011fi yapan istemcinin IP adresini veya IP adresi aral\u0131\u011f\u0131n\u0131 tan\u0131mlar. \u00d6rne\u011fin, sadece belirli bir i\u00e7 a\u011fdan gelen isteklere izin vermek i\u00e7in kullan\u0131labilir.\nacl localnet src 192.168.1.0\/24<\/code><\/pre>\n<\/p><\/div>\ndst<\/code> (Hedef IP Adresi):<\/strong> \u0130ste\u011fin gitmek istedi\u011fi sunucunun IP adresini veya IP adresi aral\u0131\u011f\u0131n\u0131 kontrol eder.\nacl internal_servers dst 10.0.0.0\/8<\/code><\/pre>\n<\/p><\/div>\ndstdomain<\/code> (Hedef Alan Ad\u0131):<\/strong> \u0130ste\u011fin gitmek istedi\u011fi web sitesinin alan ad\u0131n\u0131 kontrol eder. Belirli sitelere eri\u015fimi engellemek veya izin vermek i\u00e7in \u00e7ok kullan\u0131\u015fl\u0131d\u0131r.\nacl social_media dstdomain .facebook.com .twitter.com<\/code><\/pre>\n<\/p><\/div>\nport<\/code> (Hedef Ba\u011flant\u0131 Noktas\u0131):<\/strong> \u0130ste\u011fin kullanmak istedi\u011fi TCP\/UDP ba\u011flant\u0131 noktas\u0131n\u0131 kontrol eder. \u00d6rne\u011fin, sadece HTTP (80) ve HTTPS (443) portlar\u0131na izin vermek i\u00e7in kullan\u0131labilir.\nacl safe_ports port 80 443 21<\/code><\/pre>\n<\/p><\/div>\nurl_regex<\/code> (URL D\u00fczenli \u0130fade):<\/strong> \u0130ste\u011fin URL’sini d\u00fczenli bir ifade (regular expression) kullanarak kontrol eder. \u00c7ok esnek olup, belirli desenlere uyan URL’leri engellemek veya izin vermek i\u00e7in kullan\u0131l\u0131r.\nacl forbidden_keywords url_regex -i porn sex gambling<\/code><\/pre>\n<\/p><\/div>\ntime<\/code> (Zaman):<\/strong> \u0130ste\u011fin yap\u0131ld\u0131\u011f\u0131 g\u00fcn\u00fcn saatini veya haftan\u0131n g\u00fcn\u00fcn\u00fc kontrol eder. \u00d6rne\u011fin, \u00e7al\u0131\u015fma saatleri d\u0131\u015f\u0131nda belirli sitelere eri\u015fimi k\u0131s\u0131tlamak i\u00e7in kullan\u0131labilir.\nacl work_hours time M T W H F 09:00-17:00<\/code><\/pre>\n<\/p><\/div>\nmaxconn<\/code> (Maksimum Ba\u011flant\u0131):<\/strong> Belirli bir kaynaktan gelen e\u015fzamanl\u0131 ba\u011flant\u0131 say\u0131s\u0131n\u0131 s\u0131n\u0131rlar. DDoS (Distributed Denial of Service) sald\u0131r\u0131lar\u0131na kar\u015f\u0131 bir miktar koruma sa\u011flayabilir.<\/li>\n<\/ul>\nhttp_access<\/code> direktifleriyle birlikte kullan\u0131ld\u0131klar\u0131nda g\u00fc\u00e7l\u00fc eri\u015fim kontrol kurallar\u0131 olu\u015ftururlar. http_access<\/code> direktifleri, tan\u0131mlanan ACL’lere dayal\u0131 olarak bir iste\u011fe izin verilip verilmeyece\u011fini (allow<\/code>) veya reddedilip reddedilmeyece\u011fini (deny<\/code>) belirler. \u00d6rne\u011fin, http_access allow localnet<\/code> kural\u0131, “localnet” ACL’si ile e\u015fle\u015fen isteklere izin verir.<\/p>\nhttp_access<\/code> kurallar\u0131n\u0131z\u0131 yazarken son derece dikkatli olmak ve her bir kural\u0131n potansiyel etkisini anlamak hayati \u00f6nem ta\u015f\u0131r.<\/p>\nACL S\u0131ralamas\u0131n\u0131n G\u00fcvenlik \u00dczerindeki Kritik Etkisi: Neden \u00d6nemli?<\/h3>\n
http_access<\/code> kurallar\u0131, yap\u0131land\u0131rma dosyas\u0131nda (genellikle squid.conf<\/code>) yukar\u0131dan a\u015fa\u011f\u0131ya do\u011fru s\u0131ras\u0131yla i\u015flenir. Bu “ilk e\u015fle\u015fme kazan\u0131r” (first match wins) prensibi, Squid’in g\u00fcvenlik politikas\u0131n\u0131n temelini olu\u015fturur ve do\u011fru bir \u015fekilde anla\u015f\u0131lmad\u0131\u011f\u0131nda ciddi g\u00fcvenlik a\u00e7\u0131klar\u0131na yol a\u00e7abilir. Bir istek geldi\u011finde, Squid http_access<\/code> kurallar\u0131n\u0131 listeledi\u011finiz s\u0131rayla kontrol eder ve istekle e\u015fle\u015fen *ilk* kural\u0131 uygular. Bu kural allow<\/code> ise, istek ge\u00e7er, deny<\/code> ise, istek reddedilir ve sonraki kurallara bak\u0131lmaz.<\/p>\nsquid.conf<\/code> a\u015fa\u011f\u0131daki gibi d\u00fczenlendi:<\/p>\n\n# 1. Genel a\u011f tan\u0131m\u0131\nacl localnet src 192.168.1.0\/24\n\n# 2. Geli\u015ftirici ekibinin IP adresi\nacl dev_team src 192.168.1.50\n\n# 3. Yasakl\u0131 sosyal medya siteleri\nacl social_media dstdomain .facebook.com .twitter.com\n\n# 4. Yasakl\u0131 e\u011flence siteleri\nacl entertainment dstdomain .youtube.com .netflix.com\n\n# 5. Genel internet eri\u015fimine izin ver\nhttp_access allow localnet\n\n# 6. Sosyal medya ve e\u011flence sitelerini engelle\nhttp_access deny social_media\nhttp_access deny entertainment\n\n# 7. Geli\u015ftirici ekibine \u00f6zel izinler\nhttp_access allow dev_team\nhttp_access deny all\n <\/code><\/pre>\n<\/div>\nhttp_access allow localnet<\/code>), localnet<\/code> i\u00e7indeki t\u00fcm kullan\u0131c\u0131lara genel internet eri\u015fimine izin veriyordu.
\n* Kural 6 (http_access deny social_media<\/code> ve http_access deny entertainment<\/code>) bu kuraldan sonra geliyordu.<\/p>\nlocalnet<\/code> i\u00e7inde oldu\u011fu i\u00e7in, bu kural e\u015fle\u015fiyor ve iste\u011fe izin veriliyordu. Kural 6’ya hi\u00e7bir zaman ula\u015f\u0131lamad\u0131\u011f\u0131 i\u00e7in, sosyal medya ve e\u011flence sitelerini engelleme politikas\u0131 tamamen etkisiz kal\u0131yordu. Geli\u015ftirici ekibine \u00f6zel izinler de benzer \u015fekilde Kural 5 taraf\u0131ndan g\u00f6lgede kal\u0131yordu.<\/p>\n\n# 1. Genel a\u011f tan\u0131m\u0131\nacl localnet src 192.168.1.0\/24\n\n# 2. Geli\u015ftirici ekibinin IP adresi\nacl dev_team src 192.168.1.50\n\n# 3. Yasakl\u0131 sosyal medya siteleri\nacl social_media dstdomain .facebook.com .twitter.com\nacl entertainment dstdomain .youtube.com .netflix.com\n\n# 4. Geli\u015ftirici ekibine \u00f6zel izinler (daha \u00f6zel kural)\nhttp_access allow dev_team\n\n# 5. Sosyal medya ve e\u011flence sitelerini engelle (daha k\u0131s\u0131tlay\u0131c\u0131 kural)\nhttp_access deny social_media\nhttp_access deny entertainment\n\n# 6. Genel internet eri\u015fimine izin ver (daha genel kural)\nhttp_access allow localnet\n\n# 7. Her \u015feyi engelle (varsay\u0131lan kapal\u0131 politikas\u0131)\nhttp_access deny all\n <\/code><\/pre>\n<\/div>\n
\n* Bir geli\u015ftirici Facebook’a eri\u015fmek istedi\u011finde, Kural 4 (http_access allow dev_team<\/code>) e\u015fle\u015fir ve e\u011fer bu kural, geli\u015ftiricinin eri\u015fmesi gereken bir siteyi kaps\u0131yorsa, eri\u015fime izin verilir. (Ancak burada da geli\u015ftiricilerin sosyal medyaya eri\u015fimi engellenmek isteniyorsa, dev_team<\/code> kural\u0131n\u0131n kapsam\u0131 iyi ayarlanmal\u0131 veya deny social_media<\/code> kural\u0131 dev_team<\/code> kural\u0131ndan \u00f6nce gelmelidir. Bu, karma\u015f\u0131k senaryolarda ne kadar dikkatli olunmas\u0131 gerekti\u011fini g\u00f6sterir.)
\n* Normal bir \u00e7al\u0131\u015fan Facebook’a eri\u015fmek istedi\u011finde, Kural 4 e\u015fle\u015fmez. Kural 5 (http_access deny social_media<\/code>) e\u015fle\u015fir ve eri\u015fim reddedilir.
\n* Normal bir \u00e7al\u0131\u015fan i\u015f ile ilgili bir siteye eri\u015fmek istedi\u011finde, Kural 4 ve Kural 5 e\u015fle\u015fmez. Kural 6 (http_access allow localnet<\/code>) e\u015fle\u015fir ve eri\u015fime izin verilir.
\n* Kural 7 (http_access deny all<\/code>) ise her zaman en sonda olmal\u0131 ve varsay\u0131lan kapal\u0131 politikas\u0131n\u0131 sa\u011flamal\u0131d\u0131r.<\/p>\nVarsay\u0131lan Kapal\u0131 (Default Deny) Politikas\u0131: En G\u00fcvenli Yakla\u015f\u0131m Nas\u0131l Uygulan\u0131r?<\/h3>\n
http_access<\/code> kurallar\u0131n\u0131n sonunda her zaman bir http_access deny all<\/code> kural\u0131n\u0131n bulunmas\u0131 gerekti\u011fi anlam\u0131na gelir.<\/p>\n\n
deny all<\/code> kural\u0131 ile, sald\u0131rganlar\u0131n sistemdeki bir bo\u015fluktan yararlanma \u015fans\u0131 \u00f6nemli \u00f6l\u00e7\u00fcde azal\u0131r, \u00e7\u00fcnk\u00fc izin verilmeyen hi\u00e7bir \u015fey varsay\u0131lan olarak ge\u00e7emez.<\/li>\nhttp_access<\/code> kural\u0131 yanl\u0131\u015fl\u0131kla eksik b\u0131rak\u0131l\u0131r veya yanl\u0131\u015f s\u0131raya konulursa, deny all<\/code> kural\u0131 son \u00e7are olarak devreye girer ve istenmeyen eri\u015fimi engeller. Bu, ciddi bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n olu\u015fmas\u0131n\u0131 \u00f6nleyebilir.<\/li>\nhttp_access deny all<\/code> Kural\u0131<\/strong><\/p>\nhttp_access deny all<\/code> kural\u0131, squid.conf<\/code> dosyas\u0131ndaki t\u00fcm di\u011fer http_access<\/code> kurallar\u0131ndan sonra, listenin en sonuna eklenmelidir. Bu, Squid’in di\u011fer t\u00fcm kurallar\u0131 kontrol ettikten sonra, e\u011fer hi\u00e7bir kural e\u015fle\u015fmezse, iste\u011fi otomatik olarak reddedece\u011fi anlam\u0131na gelir.<\/p>\n\n# ACL Tan\u0131mlar\u0131\nacl localnet src 192.168.1.0\/24\nacl trusted_users src 192.168.1.10 192.168.1.11\nacl restricted_sites dstdomain .malicious-site.com .phishing-scam.net\nacl work_hours time M T W H F 09:00-17:00\nacl allowed_ports port 80 443\n\n# Eri\u015fim Kurallar\u0131 (S\u0131ra \u00d6nemlidir!)\n\n# 1. K\u00f6t\u00fc ama\u00e7l\u0131 sitelere eri\u015fimi her zaman engelle\nhttp_access deny restricted_sites\n\n# 2. G\u00fcvenilir kullan\u0131c\u0131lara \u00f6zel izinler (varsa)\nhttp_access allow trusted_users\n\n# 3. Mesai saatleri i\u00e7inde yerel a\u011fdan belirli portlara eri\u015fime izin ver\nhttp_access allow localnet work_hours allowed_ports\n\n# 4. Yukar\u0131daki kurallardan hi\u00e7birine uymayan her \u015feyi engelle\nhttp_access deny all\n <\/code><\/pre>\n<\/div>\nhttp_access deny all<\/code> kural\u0131 en sonda yer alarak, yukar\u0131daki kurallar\u0131n hi\u00e7birine uymayan her t\u00fcrl\u00fc eri\u015fim iste\u011fini engeller. Bu, a\u011f\u0131n\u0131z i\u00e7in g\u00fc\u00e7l\u00fc bir son savunma hatt\u0131 olu\u015fturur.<\/p>\nhttp_access deny all<\/code> kural\u0131 eksik olsayd\u0131, yanl\u0131\u015fl\u0131kla veya g\u00f6zden ka\u00e7an bir http_access allow<\/code> kural\u0131, \u00e7al\u0131\u015fanlar\u0131n k\u0131s\u0131tl\u0131 sitelere eri\u015fmesine veya daha da k\u00f6t\u00fcs\u00fc, k\u00f6t\u00fc niyetli d\u0131\u015f akt\u00f6rlerin bankan\u0131n i\u00e7 kaynaklar\u0131na eri\u015fim sa\u011flamas\u0131na neden olabilirdi.<\/p>\ndeny all<\/code> kural\u0131n\u0131 uygulayarak, sadece a\u00e7\u0131k\u00e7a izin verilen sitelere ve hizmetlere eri\u015fimi garanti alt\u0131na al\u0131r. \u00d6rne\u011fin, sadece finansal i\u015flemler i\u00e7in gerekli olan bankac\u0131l\u0131k sitelerine ve kurum i\u00e7i portallara izin verilir. Di\u011fer t\u00fcm siteler, sosyal medya, e\u011flence, ki\u015fisel e-posta vb., otomatik olarak engellenir. Bu yakla\u015f\u0131m, bankan\u0131n hassas verilerini korumak ve reg\u00fclasyonlara uymak i\u00e7in vazge\u00e7ilmezdir.<\/p>\nsquid.conf<\/code> dosyan\u0131z\u0131n sonunda bir http_access deny all<\/code> kural\u0131 bulundurarak, a\u011f\u0131n\u0131z\u0131 beklenmedik tehditlere ve yap\u0131land\u0131rma hatalar\u0131na kar\u015f\u0131 koruyabilir, b\u00f6ylece g\u00fcvenli ve kontrol edilebilir bir internet eri\u015fim ortam\u0131 sa\u011flayabilirsiniz.<\/p>\nPratikte Squid ACL Yap\u0131land\u0131rmas\u0131: Ad\u0131m Ad\u0131m G\u00fcvenlik Uygulamalar\u0131<\/h3>\n
http_access<\/code> kurallar\u0131n\u0131 do\u011fru bir \u015fekilde yap\u0131land\u0131rmak esast\u0131r. Bu b\u00f6l\u00fcmde, ger\u00e7ek d\u00fcnya senaryolar\u0131na uygun ad\u0131m ad\u0131m bir yap\u0131land\u0131rma \u00f6rne\u011fi sunaca\u011f\u0131z. Amac\u0131m\u0131z, hem g\u00fcvenli\u011fi hem de i\u015flevselli\u011fi bir arada sunan, iyi s\u0131ralanm\u0131\u015f ve anla\u015f\u0131l\u0131r bir squid.conf<\/code> dosyas\u0131 olu\u015fturmakt\u0131r.<\/p>\n\n
squid.conf<\/code> dosyas\u0131nda bu senaryoyu uygulayan bir \u00f6rnek:<\/p>\n\n# -----------------------------------------------------------------------------\n# ACL (Eri\u015fim Kontrol Listesi) Tan\u0131mlamalar\u0131\n# Bu b\u00f6l\u00fcmde, eri\u015fim kontrol kurallar\u0131m\u0131z i\u00e7in gerekli ko\u015fullar\u0131 tan\u0131mlar\u0131z.\n# -----------------------------------------------------------------------------\n\n# Yerel A\u011f\u0131m\u0131z\u0131 Tan\u0131mla: \u0130\u00e7 a\u011f\u0131m\u0131zdaki IP adres aral\u0131\u011f\u0131.\n# Bu, genellikle \u015firket i\u00e7i kullan\u0131c\u0131lar\u0131n bulundu\u011fu a\u011fd\u0131r.\nacl localnet src 192.168.1.0\/24\n\n# Y\u00f6neticiler i\u00e7in \u00d6zel IP Adresleri:\n# Bu IP'ler, genellikle daha fazla eri\u015fim yetkisine sahip olacaklard\u0131r.\nacl admins src 192.168.1.100 192.168.1.101\n\n# G\u00fcvenli Portlar: Sadece HTTP (80) ve HTTPS (443) portlar\u0131na izin ver.\n# Di\u011fer portlar (FTP, SSH vb.) genellikle do\u011frudan proxy \u00fczerinden ge\u00e7irilmez.\nacl safe_ports port 80 443\n\n# SSL Portu: Sadece HTTPS (443) portuna izin ver.\n# CONNECT metodu ile gelen HTTPS istekleri i\u00e7in kullan\u0131l\u0131r.\nacl ssl_ports port 443\n\n# CONNECT Metodu: Sadece g\u00fcvenli portlara CONNECT metoduna izin ver.\n# Bu, HTTPS trafi\u011fi i\u00e7in t\u00fcnelleme sa\u011flar.\nacl CONNECT method CONNECT\n\n# Yasakl\u0131 Siteler: \u00c7al\u0131\u015fanlar\u0131n eri\u015fmesini istemedi\u011fimiz siteler.\n# Bu listeyi \u015firket politikalar\u0131n\u0131za g\u00f6re geni\u015fletebilirsiniz.\nacl forbidden_sites dstdomain .facebook.com .twitter.com .youtube.com .gambling.com\n\n# K\u00f6t\u00fc Ama\u00e7l\u0131 Siteler: Bilinen zararl\u0131 veya kimlik av\u0131 siteleri.\n# Bu listeyi g\u00fcncel tutmak i\u00e7in harici kaynaklar kullan\u0131labilir.\nacl malicious_sites dstdomain .malware-domain.com .phishing-scam.net\n\n# -----------------------------------------------------------------------------\n# http_access Kurallar\u0131\n# Bu b\u00f6l\u00fcmde, tan\u0131mlad\u0131\u011f\u0131m\u0131z ACL'leri kullanarak eri\u015fim izinlerini belirleriz.\n# S\u0131ralama KR\u0130T\u0130KT\u0130R! \u0130lk e\u015fle\u015fen kural uygulan\u0131r.\n# -----------------------------------------------------------------------------\n\n# 1. CONNECT metoduna sadece SSL portlar\u0131 i\u00e7in izin ver.\n# Bu, HTTPS trafi\u011finin t\u00fcnellenmesi i\u00e7in gereklidir.\nhttp_access allow CONNECT ssl_ports\n\n# 2. Yasakl\u0131 ve k\u00f6t\u00fc ama\u00e7l\u0131 sitelere eri\u015fimi her zaman engelle.\n# Bu kurallar, di\u011fer izin veren kurallardan \u00f6nce gelmelidir.\nhttp_access deny malicious_sites\nhttp_access deny forbidden_sites\n\n# 3. Y\u00f6neticilere t\u00fcm (veya daha geni\u015f) eri\u015fime izin ver.\n# Y\u00f6neticiler genellikle k\u0131s\u0131tlamalar\u0131n d\u0131\u015f\u0131nda tutulur.\nhttp_access allow admins\n\n# 4. Yerel a\u011fdaki kullan\u0131c\u0131lara g\u00fcvenli portlar \u00fczerinden eri\u015fime izin ver.\n# Bu, genel internet eri\u015fimini sa\u011flar.\nhttp_access allow localnet safe_ports\n\n# 5. G\u00fcvenli olmayan portlara eri\u015fimi engelle.\n# E\u011fer yukar\u0131daki safe_ports kural\u0131 e\u015fle\u015fmediyse, di\u011fer portlar\u0131 engelle.\nhttp_access deny !safe_ports\n\n# 6. Varsay\u0131lan Kapal\u0131 Politikas\u0131: Yukar\u0131daki kurallardan hi\u00e7birine uymayan her \u015feyi engelle.\n# Bu kural, her zaman en sonda olmal\u0131d\u0131r ve g\u00fcvenlik i\u00e7in hayati \u00f6neme sahiptir.\nhttp_access deny all\n\n# -----------------------------------------------------------------------------\n# Di\u011fer Genel Ayarlar (\u00d6rnek)\n# Bu b\u00f6l\u00fcm, proxy'nin di\u011fer davran\u0131\u015flar\u0131n\u0131 yap\u0131land\u0131r\u0131r.\n# -----------------------------------------------------------------------------\n\n# Proxy'nin dinleyece\u011fi port (genellikle 3128 veya 8080).\nhttp_port 3128\n\n# \u00d6nbellek dizini ve boyutu (\u00f6rnek).\n# cache_dir ufs \/var\/spool\/squid 100 16 256\n\n# \u00d6nbelle\u011fi temizlemek i\u00e7in cache_dir sat\u0131r\u0131n\u0131 yorum sat\u0131r\u0131 yap\u0131n ve Squid'i yeniden ba\u015flat\u0131n.\n# Daha sonra yorumu kald\u0131r\u0131p tekrar ba\u015flatabilirsiniz.\n\n# Hata sayfalar\u0131n\u0131 \u00f6zelle\u015ftirmek i\u00e7in.\n# error_directory \/usr\/share\/squid\/errors\/Turkish\n\n# Proxy'nin g\u00f6r\u00fcnen ana bilgisayar ad\u0131.\n# visible_hostname myproxy.example.com\n\n# Proxy'nin y\u00f6netici e-posta adresi.\n# cache_mgr webmaster@example.com\n\n# -----------------------------------------------------------------------------\n# Yap\u0131land\u0131rma Sonu\n# -----------------------------------------------------------------------------\n <\/code><\/pre>\n<\/div>\nacl<\/code> direktifleriyle tan\u0131ml\u0131yoruz. localnet<\/code>, admins<\/code>, safe_ports<\/code>, ssl_ports<\/code>, CONNECT<\/code>, forbidden_sites<\/code> ve malicious_sites<\/code> gibi ACL’ler, daha sonra http_access<\/code> kurallar\u0131nda kullan\u0131lmak \u00fczere mant\u0131ksal gruplamalar olu\u015fturur. !safe_ports<\/code> gibi tersine \u00e7evrilmi\u015f ACL’ler de kullan\u0131labilir.
\n2. http_access<\/code> Kurallar\u0131:<\/strong> Buras\u0131, g\u00fcvenlik politikas\u0131n\u0131n kalbinin att\u0131\u011f\u0131 yerdir. Kurallar\u0131n s\u0131ras\u0131 son derece \u00f6nemlidir:
\n * \u00d6zel \u0130zinler (CONNECT metoduna izin):<\/strong> http_access allow CONNECT ssl_ports<\/code> kural\u0131, HTTPS trafi\u011finin t\u00fcnellenmesi i\u00e7in gereklidir ve genellikle deny all<\/code> kural\u0131ndan \u00f6nce gelmelidir.
\n * En K\u0131s\u0131tlay\u0131c\u0131 Kurallar (Engellemeler):<\/strong> http_access deny malicious_sites<\/code> ve http_access deny forbidden_sites<\/code> gibi engelleme kurallar\u0131, di\u011fer t\u00fcm izin verme kurallar\u0131ndan \u00f6nce gelmelidir. Bu, zararl\u0131 veya istenmeyen sitelere eri\u015fimin kesinlikle engellenmesini sa\u011flar.
\n * \u00d6zel \u0130zinler (Y\u00f6neticiler):<\/strong> http_access allow admins<\/code> kural\u0131, belirli kullan\u0131c\u0131lara veya IP’lere genel kurallar\u0131n d\u0131\u015f\u0131nda \u00f6zel eri\u015fim sa\u011flamak i\u00e7in kullan\u0131l\u0131r. Bu, engelleme kurallar\u0131ndan sonra, ancak genel izin verme kurallar\u0131ndan \u00f6nce gelmelidir.
\n * Genel \u0130zinler:<\/strong> http_access allow localnet safe_ports<\/code> kural\u0131, yerel a\u011fdaki genel kullan\u0131c\u0131lara g\u00fcvenli portlar \u00fczerinden internet eri\u015fimi sa\u011flar. Bu, en geni\u015f kapsaml\u0131 izin verme kural\u0131d\u0131r.
\n * Kalan Portlar\u0131 Engelle:<\/strong> http_access deny !safe_ports<\/code> kural\u0131, g\u00fcvenli olarak tan\u0131mlanmayan t\u00fcm portlara eri\u015fimi engeller. Bu, g\u00fcvenli portlar d\u0131\u015f\u0131ndaki potansiyel g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 kapat\u0131r.
\n * Varsay\u0131lan Kapal\u0131 Politikas\u0131:<\/strong> En sona http_access deny all<\/code> kural\u0131 eklenir. Bu, yukar\u0131daki hi\u00e7bir kurala uymayan t\u00fcm isteklerin reddedilmesini sa\u011flar ve a\u011f g\u00fcvenli\u011fi i\u00e7in vazge\u00e7ilmez bir son savunma hatt\u0131d\u0131r.
\n3. Di\u011fer Genel Ayarlar:<\/strong> http_port<\/code>, cache_dir<\/code>, visible_hostname<\/code> gibi di\u011fer ayarlar, proxy’nin genel davran\u0131\u015f\u0131n\u0131 ve performans\u0131n\u0131 etkiler. Bu ayarlar g\u00fcvenlik ACL’leriyle do\u011frudan ilgili olmasa da, proxy’nin do\u011fru \u00e7al\u0131\u015fmas\u0131 i\u00e7in \u00f6nemlidir.<\/p>\nsquid -k parse<\/code> veya squid -f \/etc\/squid\/squid.conf -k parse<\/code> komutunu kullanarak yap\u0131land\u0131rma dosyan\u0131zda s\u00f6zdizimi hatalar\u0131 olup olmad\u0131\u011f\u0131n\u0131 kontrol edin. Herhangi bir hata yoksa, systemctl restart squid<\/code> (veya service squid restart<\/code>) komutuyla servisi yeniden ba\u015flat\u0131n.<\/p>\nGeli\u015fmi\u015f ACL Teknikleri ve Yayg\u0131n Hatalardan Ka\u00e7\u0131nma Yollar\u0131<\/h3>\n
Geli\u015fmi\u015f ACL Teknikleri:<\/h4>\n
external_acl_type<\/code>):<\/strong>
\n Squid, yerle\u015fik ACL’lerinin yan\u0131 s\u0131ra, harici programlar arac\u0131l\u0131\u011f\u0131yla kullan\u0131c\u0131 kimlik do\u011frulamas\u0131 veya karma\u015f\u0131k veritaban\u0131 sorgular\u0131 gibi \u00f6zelle\u015ftirilmi\u015f eri\u015fim kontrolleri yapman\u0131za olanak tan\u0131r. \u00d6rne\u011fin, bir LDAP sunucusuna veya Active Directory’ye ba\u011flanarak kullan\u0131c\u0131lar\u0131n kullan\u0131c\u0131 ad\u0131 ve \u015fifreleriyle kimlik do\u011frulamas\u0131 yapmas\u0131n\u0131 sa\u011flayabilirsiniz.<\/p>\n\n # Harici bir kimlik do\u011frulama program\u0131 tan\u0131mla (\u00f6rne\u011fin, LDAP sorgusu yapan bir script)\n external_acl_type ldap_auth %LOGIN \/usr\/lib\/squid\/basic_ldap_auth -b \"dc=example,dc=com\" -D \"cn=squid,dc=example,dc=com\" -w \"password\" -f \"uid=%s\" ldap_server\n\n # Kimlik do\u011frulamas\u0131 gerektiren kullan\u0131c\u0131lar\n acl authenticated_users external ldap_auth\n\n # Sadece kimli\u011fi do\u011frulanm\u0131\u015f kullan\u0131c\u0131lara izin ver\n http_access allow authenticated_users\n <\/code><\/pre>\n<\/p><\/div>\ntime<\/code>):<\/strong>
\n Belirli zaman dilimlerinde veya haftan\u0131n belirli g\u00fcnlerinde eri\u015fimi k\u0131s\u0131tlamak veya izin vermek i\u00e7in time<\/code> ACL’sini kullanabilirsiniz. Bu, \u00e7al\u0131\u015fma saatleri i\u00e7inde sosyal medya eri\u015fimini engellemek gibi senaryolar i\u00e7in m\u00fckemmeldir.<\/p>\n\n acl work_hours time M T W H F 09:00-17:00\n acl social_media dstdomain .facebook.com .twitter.com\n\n http_access deny social_media !work_hours # Mesai saatleri d\u0131\u015f\u0131nda sosyal medyaya izin ver\n http_access deny social_media work_hours # Mesai saatleri i\u00e7inde sosyal medyay\u0131 engelle\n <\/code><\/pre>\n<\/p><\/div>\n!work_hours<\/code> (mesai saatleri d\u0131\u015f\u0131) ile work_hours<\/code> (mesai saatleri i\u00e7i) kombinasyonlar\u0131, politikay\u0131 daha esnek hale getirir.<\/p>\nurl_rewrite_program<\/code>):<\/strong>
\n Squid, bir kullan\u0131c\u0131n\u0131n talep etti\u011fi URL’yi de\u011fi\u015ftirmek i\u00e7in harici programlar kullanabilir. Bu, kullan\u0131c\u0131lar\u0131 belirli bir engelleme sayfas\u0131na y\u00f6nlendirmek, URL’leri temizlemek veya belirli parametreleri eklemek gibi ama\u00e7lar i\u00e7in kullan\u0131labilir.<\/p>\n\n # URL yeniden yazma program\u0131n\u0131 tan\u0131mla\n url_rewrite_program \/usr\/local\/bin\/my_rewrite_script.sh\n\n # Rewrite program\u0131na g\u00f6nderilecek maksimum istek say\u0131s\u0131\n url_rewrite_children 5 startup=1 idle=1\n\n # Rewrite program\u0131n\u0131n zaman a\u015f\u0131m\u0131\n url_rewrite_concurrency 0\n <\/code><\/pre>\n<\/p><\/div>\nmy_rewrite_script.sh<\/code> dosyas\u0131, gelen URL’leri i\u015fleyerek yeni bir URL d\u00f6nd\u00fcren bir betik olacakt\u0131r.<\/p>\nYayg\u0131n Hatalardan Ka\u00e7\u0131nma Yollar\u0131:<\/h4>\n
http_access deny all<\/code> Kural\u0131n\u0131 Unutmak veya Yanl\u0131\u015f Yere Koymak:<\/strong>
\n Bu, en s\u0131k yap\u0131lan ve en tehlikeli hatad\u0131r. deny all<\/code> kural\u0131n\u0131n eksik olmas\u0131, yukar\u0131daki hi\u00e7bir kural\u0131n e\u015fle\u015fmedi\u011fi t\u00fcm isteklere \u00f6rt\u00fcl\u00fc olarak izin verilece\u011fi anlam\u0131na gelir ki bu da proxy’nizi bir a\u00e7\u0131k proxy haline getirir. Bu kural her zaman http_access<\/code> listesinin en sonunda olmal\u0131d\u0131r.<\/p>\nhttp_access allow all<\/code> Kural\u0131n\u0131 \u00c7ok Erken Koymak:<\/strong>
\n E\u011fer http_access allow all<\/code> kural\u0131n\u0131 listenin ba\u015f\u0131na yak\u0131n bir yere koyarsan\u0131z, bu kural, daha sonra gelen t\u00fcm deny<\/code> kurallar\u0131n\u0131 ge\u00e7ersiz k\u0131lacakt\u0131r. \u00d6rne\u011fin, yasakl\u0131 siteleri engelleyen kurallardan \u00f6nce gelirse, o sitelere eri\u015fim sa\u011flanacakt\u0131r. allow all<\/code> kural\u0131 genellikle kullan\u0131lmamal\u0131d\u0131r; bunun yerine, varsay\u0131lan kapal\u0131 politikas\u0131 (deny all<\/code>) ile birlikte a\u00e7\u0131k\u00e7a izin verilenleri belirtmek (allow specific_acl<\/code>) \u00e7ok daha g\u00fcvenlidir.<\/p>\n
\n Birden fazla ACL tan\u0131mlad\u0131\u011f\u0131n\u0131zda ve bunlar birbirini kapsad\u0131\u011f\u0131nda veya \u00e7eli\u015fti\u011finde, beklenen davran\u0131\u015f yerine farkl\u0131 bir sonu\u00e7 elde edebilirsiniz. \u00d6rne\u011fin, hem localnet<\/code> hem de restricted_users<\/code> ACL’leri ayn\u0131 IP aral\u0131\u011f\u0131n\u0131 i\u00e7eriyorsa ve farkl\u0131 http_access<\/code> kurallar\u0131na ba\u011fl\u0131ysa, s\u0131ralama kritik hale gelir. Her ACL’nin ve kural\u0131n tam olarak neyi hedefledi\u011fini anlamak ve \u00e7ak\u0131\u015fmalar\u0131 \u00f6nlemek i\u00e7in dikkatli olmak gerekir.<\/p>\n
\n Yeni bir yap\u0131land\u0131rma veya de\u011fi\u015fiklik yapt\u0131ktan sonra, squid -k parse<\/code> komutuyla s\u00f6zdizimi hatalar\u0131n\u0131 kontrol etmek yeterli de\u011fildir. Farkl\u0131 senaryolar\u0131 (izin verilen, reddedilen, \u00f6zel kullan\u0131c\u0131lar) manuel olarak test etmek, politikan\u0131z\u0131n ger\u00e7ekten beklendi\u011fi gibi \u00e7al\u0131\u015ft\u0131\u011f\u0131ndan emin olman\u0131n tek yoludur.<\/p>\n
\n Sadece IP adreslerine g\u00fcvenmek yeterli olmayabilir. \u00d6rne\u011fin, src<\/code> ACL’si VPN kullanan veya dinamik IP alan kullan\u0131c\u0131lar i\u00e7in yetersiz kalabilir. Bu durumlarda, external_acl_type<\/code> ile kullan\u0131c\u0131 kimlik do\u011frulamas\u0131 gibi daha sa\u011flam y\u00f6ntemlere ba\u015fvurmak gerekir.<\/p>\n
\n Squid, s\u00fcrekli geli\u015fen bir yaz\u0131l\u0131md\u0131r ve g\u00fcvenlik a\u00e7\u0131klar\u0131 zaman zaman ke\u015ffedilebilir. Squid sunucunuzu d\u00fczenli olarak g\u00fcncellemek, bilinen zafiyetlere kar\u015f\u0131 korunman\u0131z\u0131 sa\u011flar.<\/p>\nVaka Analizi: Yanl\u0131\u015f ACL Yap\u0131land\u0131rmas\u0131n\u0131n Y\u0131k\u0131c\u0131 Sonu\u00e7lar\u0131<\/h3>\n
squid.conf<\/code> dosyas\u0131n\u0131 yap\u0131land\u0131rmakla g\u00f6revlendirildi. Can, internet \u00fczerindeki \u00e7e\u015fitli \u00f6rnekleri inceleyerek bir yap\u0131land\u0131rma olu\u015fturdu.<\/p>\nsquid.conf<\/code> yap\u0131land\u0131rmas\u0131 a\u015fa\u011f\u0131daki gibiydi:<\/p>\n\n# ACL Tan\u0131mlar\u0131\nacl localnet src 192.168.1.0\/24 # \u015eirket i\u00e7i a\u011f\nacl office_hours time M T W H F 09:00-18:00\nacl social_media dstdomain .facebook.com .twitter.com\n\n# http_access Kurallar\u0131\nhttp_access allow localnet # \u015eirket i\u00e7i a\u011fa izin ver\nhttp_access deny social_media office_hours # Mesai saatlerinde sosyal medyay\u0131 engelle\n\n# Di\u011fer ayarlar...\nhttp_port 3128\n <\/code><\/pre>\n<\/div>\nhttp_access deny all<\/code> kural\u0131 eksikti ve http_access allow localnet<\/code> kural\u0131 \u00e7ok genel bir \u015fekilde tan\u0131mlanm\u0131\u015ft\u0131.<\/p>\nhttp_access allow localnet<\/code> kural\u0131, sadece localnet<\/code> ACL’si ile e\u015fle\u015fen isteklere izin vermesi gerekirken, http_access deny all<\/code> kural\u0131n\u0131n eksik olmas\u0131 ve localnet<\/code> tan\u0131m\u0131n\u0131n sadece kaynak IP’ye odaklanmas\u0131, d\u0131\u015far\u0131dan gelen ve herhangi bir deny<\/code> kural\u0131na tak\u0131lmayan t\u00fcm isteklere \u00f6rt\u00fcl\u00fc olarak izin verilmesine neden olmu\u015ftu.<\/p>\n