Üretim, proxy ve az bilinenler
Proxy trust, hop-by-hop alanlar ve framing sınırı
Reverse proxy arkasında gerçek istemciyi ve protokolü güvenle yorumla.
Kavramı anlayalım
Bir reverse proxy TLS’i sonlandırıp uygulamaya ayrı bağlantı açabilir. Uygulamanın gördüğü peer proxy olur; Forwarded veya X-Forwarded-* orijinal IP, host ve scheme bilgisi taşıyabilir. Bu alanlar sadece güvenilir proxy zincirinden geldiyse dikkate alınmalıdır. İnternetten doğrudan gelen spoof edilmiş X-Forwarded-For değeri rate limit veya izin denetimini aşmamalıdır.
Connection ile belirtilen hop-by-hop alanlar bağlantı içindir; uçtan uca anlamsızca aktarılmaz. HTTP/2 ve HTTP/3 connection-specific alanlarla HTTP/1.1 metin kurallarını aynen kullanmaz. Mesaj gövde sınırını proxy ile origin farklı yorumlarsa request smuggling benzeri güvenlik sorunları oluşabilir. Belirsiz length/framing durumlarını reddetmek ve bütün hop’larda güncel parser kullanmak önemlidir; burada saldırı payload’ı üretilmez.
Host ve scheme yanlış yorumlanırsa login callback, redirect ve secure cookie davranışı bozulabilir. Trusted proxy listesi, header limitleri ve origin erişim sınırlarını deployment’a göre kur. IP adresi kimlik değildir; NAT ve proxy kullanımında birçok kişi aynı IP’yi paylaşabilir. Üretim teşhisinde hangi hop’un 502/504 ürettiğini request ID ve timing ile ilişkilendir; ham credential loglama.
Reverse proxy, CDN ve container deployment’ını teşhis ederken.
Client’ın gönderdiği X-Forwarded-For değerini koşulsuz gerçek IP sanmak.
Aynı konu. Üç farklı derinlik.
Client → trusted proxy → APIAPI yalnız tanımlı proxy bağlamından forwarded bilgi alır.
Bu sayfa dış sunuculara istek göndermez. HTTP mesajları temsili, HTTP/1.1 biçiminde okunabilir gösterimlerdir; HTTP/2 ve HTTP/3 wire formatı değildir. example.test ayrılmış öğretim alan adıdır. Komut ve JavaScript örneklerini yalnız kendi test ortamında uygula; gerçek token veya cookie yayımlama.
Önce kendin dene.
Kullanıcı X-Forwarded-For ile istediği IP’yi gönderebiliyor. Ona güvenmeli misin?
Çözümü ve açıklamasını göster
Only trust configured proxy sources and the validated chain.Hayır. Kaynak ve proxy zinciri doğrulanmalıdır.