⚠️ Güncelleme Notu Bu yazı 2018’de aldığım notlara dayanıyor. Erişim engelleme yöntemleri ve özellikle HTTPS’in yaygınlaşmasıyla içerik tabanlı filtrelemenin sınırları o günden bu yana belirgin şekilde değişti. Buradaki yaklaşımları o dönemin bir kaydı olarak değerlendirin.

İnternet erişimini kısıtlamak, engellemek veya limitlemek; çoğunlukla yasal kurumların talepleri ya da servis sağlayıcıların kendi politikaları gereği gündeme gelen, oldukça güncel bir konu. Engelleme dışında bu yöntemler, ağ içi ve ağ dışı P2P kullanımını kısıtlamak veya düzenlemek için de kullanılabiliyor.

Yöntemleri genel olarak dört başlıkta toplayabiliriz.

1. DNS Üzerinden Engelleme

Kullanıcıların servislere genellikle DNS sorgusu üzerinden eriştiği varsayılır. Bu nedenle servis sağlayıcılar, kullanıcılarına sundukları DNS sunucularında erişime izin vermek istemedikleri kayıtlar için farklı bir cevap döner — örneğin alan adını kendi belirledikleri bir IP adresine eşler.

Bu yaklaşımın zayıf noktaları şunlar:

  • Kullanıcı erişmek istediği IP adresini doğrudan girebilir. Bu durumda hiç DNS sorgusu yapılmayacağı için engelleme devreye girmez.
  • Kullanıcı, yerel hosts tanımlarıyla DNS eşlemelerini statik olarak değiştirebilir.
  • Kısıtlama yalnızca DNS kaydı seviyesinde yapılabilir; bir sayfa içindeki tek bir yorum ya da resim bazında engelleme mümkün değildir.
  • Kullanıcılar, engellemenin yapılmadığı farklı DNS sunucularını kullanarak kısıtlamadan kurtulabilir.

Son maddeye karşı, DNS yönlendirme veya başka DNS sunucularına erişimi engelleme gibi önlemler alınabilir (örneğin DNS için kullanılan portu kendi sunucusuna yönlendirmek). Ancak bu tür yöntemler etik açıdan tartışmalıdır.

2. IP Erişiminin Engellenmesi

Belirlenen IP adreslerine erişim; ağ üzerinde blackhole routing, ACL ve benzeri yöntemlerle engellenir. Buradaki temel sorun, www gibi servislerin DNS çözümlemesine dayanmasıdır:

  • DNS kaydının değişmesi durumunda engelleme tutmaz.
  • Bir sayfanın birden fazla IP adresi kullanması (sosyal ağ uygulamaları yedeklilik ve kapasite nedeniyle sıklıkla böyle çalışır) tam engellemeyi zorlaştırır.
  • Yapılan kısıtlama, ilgili IP’ye erişimi tamamen keser; servis bazında engelleme yapılamaz.
  • Çok sayıda IP girdisinin olması ve bunların dinamik olarak değişmesi, yöntemin ölçeklenmesini zorlaştırır.

3. IDS ve Trafik İnceleme Cihazları

Bu tür cihazlar genellikle güvenlik amacıyla kullanılır ve trafiği içerik bazında filtreleyebilir. İzlenen yöntem, filtrelenecek trafiği tespit etmek ve sonuca göre izin vermek ya da engellemektir. IDS benzeri cihazlarla tüm IP trafiği izlenebilir.

Yaygınlaşan bir başka yöntem ise TCP Reset kullanımıdır. Kullanıcı trafiği bir sunucuya kopyalanır; bu sunucu, engellenmek istenen oturum için her iki tarafa da TCP reset gönderir. Böylece kullanıcı ile uç nokta arasındaki TCP bağlantısı kullanılamaz hale gelir.

Aynı yöntem P2P uygulamalarını limitlemek için de kullanılıyor: kullanıcının veri trafiği bu tür bir sunucuya yönlendirildikten sonra uygulama, upload ve download trafiğini analiz edip gerektiğinde ilgili bağlantılara reset göndererek bir limitleme uygulayabiliyor.

Detecting Forged TCP Reset Packets dökümanında belirtildiği gibi, TCP Reset yönteminin önemli bir avantajı cihazın out-of-band konumlandırılabilmesidir; bu da ağ üzerindeki tek hata noktası sayısını azaltır. Buna karşılık:

  • Cihazın veya uygulamanın devre dışı kalması, engellemenin yapılamaması anlamına gelir.
  • Çalışma mantığı gereği zaman zaman engelleme kaçakları olabilir — örneğin TCP reset’in geç gitmesi gibi race condition durumlarında.

Uygulamalar bu kaçakları azaltmak için genellikle birden fazla TCP reset gönderir ve sequence numarasını artırarak işlemi garantiye almaya çalışır (döküman bunu ayrıntılı anlatıyor). Yine de zaman zaman kaçaklar olsa da, istenen sonuç büyük oranda elde edilir. Cihaz inline kullanılarak bu kaçaklar da aşılabilir.

Pratikte en yüksek verim, tüm yöntemler bir arada kullanılarak alınmaya çalışılır.

HTTPS Trafiğinin Engellenmesi

HTTPS trafiğini engellemek hem etik hem de teknik açıdan ciddi zorluklar barındırır. URL bazında engelleme için trafiğin açılması (şifre çözümü) gerekir; bu da beraberinde sertifika sorunlarını getirir.

Özet

Hiçbir yöntem tek başına eksiksiz değildir. DNS engellemesi en kolay aşılan yöntem, IP engellemesi servis bazında ayrım yapamıyor, TCP Reset ölçeklenebilir ama kaçaklara ve cihaz bağımlılığına açık. HTTPS’in yaygınlaşmasıyla içerik tabanlı engelleme giderek zorlaşıyor. Bu yüzden gerçek dağıtımlarda yöntemler genellikle birlikte kullanılır.

Kaynaklar

The content of this post was created by the author; AI was used for editing and restructuring.