MikroTik Router'da Proxy Ayarları: Kurumsal Ağı Koruma ve Trafik Filtreleme Adım Adım

Şirketinizde bir MikroTik router varsa, zaten trafiği kontrol etmek, istenmeyen siteleri engellemek ve kurumsal ağı korumak için yerleşik bir araca sahipsiniz demektir. Çoğu sistem yöneticisi, bu aracın olanaklarının yarısını bile kullanmıyor. Bu kılavuzda, ek sunucular ve gereksiz maliyetler olmadan MikroTik üzerinde proxy'yi nasıl ayarlayacağınızı inceleyeceğiz.

MikroTik'te Web Proxy nedir ve işletmeler için neden gereklidir

MikroTik RouterOS, yerleşik bir HTTP/HTTPS proxy sunucusu içeren tam teşekküllü bir ağ donanım işletim sistemidir. Buna Web Proxy denir ve temel lisanslarla kullanılabilir. Temelde, ağınızdaki kullanıcılar ile internet arasında bir ara düğüm gibidir: tüm trafik buradan geçer ve ağda neler olduğunu tam kontrol edersiniz.

Bu, sıradan bir güvenlik duvarından neyle farklıdır? Güvenlik duvarı, IP adresleri ve portlar düzeyinde çalışır - isteklerin içeriğini "anlamaz". Proxy ise uygulama düzeyinde çalışır: belirli URL'leri, alan adlarını, içerik türlerini görür. Bu, tamamen farklı bir kontrol seviyesi sağlar.

MikroTik'teki yerleşik Web Proxy şunları yapabilir:

• Web içeriğini önbelleğe almak - bu, aktif tarayıcı kullanımı olan ofislerde internet bağlantısını %30-40 oranında azaltır
• Belirli sitelere, alan adlarına, URL kalıplarına erişimi engellemek
• Kullanıcıların IP adreslerine veya alt ağlara göre erişimi sınırlamak
• Tüm HTTP isteklerini günlüğe kaydetmek - kim, nereye ve ne zaman girdi
• Şeffaf modda çalışmak - kullanıcılar varlığını fark etmez
• Trafiği harici bir proxy sunucusuna yönlendirmek (parent proxy)

Önemli bir kısıtlamayı anlamak önemlidir: MikroTik'teki yerleşik Web Proxy yalnızca HTTP trafiği ile doğal modda çalışır. HTTPS trafiğini yalnızca belirli kısıtlamalarla şeffaf modda yakalayabilir veya parent proxy ayarı ile. HTTPS'nin tam denetimi için ek çözümler gereklidir - bunu harici proxy bölümünde anlatacağız.

Kullanım senaryoları: Bu ayar kime ve neden gerekiyor

Teknik detaylara geçmeden önce, MikroTik'teki proxy'nin çözdüğü belirli iş sorunlarını inceleyelim. Bu, hangi ayarların sizin için gerekli olduğunu anlamanıza yardımcı olacaktır.

İşletme ofisi

En yaygın senaryo. Görevler: çalışma saatlerinde sosyal medya sitelerini engellemek, torrent indirmeyi yasaklamak, bant genişliğini "tüketen" akış servislerine erişimi sınırlamak. MikroTik'teki şeffaf proxy, çalışanların bilgisayarlarına ajan yüklemeden bunların hepsini çözer. Çalışanlar, trafiğinin filtrelendiğini bile bilmez - her şey otomatik olarak çalışır.

İnternet kafeler, ortak çalışma alanları, oteller

Burada proxy, iki şey için gereklidir: önbellekleme (popüler içerik daha hızlı yüklenir ve trafiği tekrar harcamaz) ve yasadışı içeriğin temel filtrelemesi. Önbellekleme, sınırlı veya pahalı internet bağlantılarında özellikle önemlidir.

Pazarlama ajansları ve dijital ekipler

Spesifik bir senaryo: Facebook Ads, TikTok Ads, Instagram'da birçok reklam hesabıyla çalışan ekipler, genellikle MikroTik'i trafiği harici proxy'ler üzerinden yönlendirmek için bir geçit olarak kullanır. Farklı çalışanlar veya çalışma istasyonları, internete farklı IP adresleri üzerinden çıkar - bu, aynı platformda birden fazla hesapla çalışmak için kritik öneme sahiptir.

Sağlayıcılar ve ISS'ler

Küçük sağlayıcılar, MikroTik'in önbellekleyen proxy'sini ana bağlantı üzerindeki yükü azaltmak için kullanır. Aynı haberleri veya YouTube'u izleyen çok sayıda abone olduğunda, önbellekleme belirgin bir trafik tasarrufu sağlar.

Ayar yapmadan önce neler gerekli

Yapılandırmaya başlamadan önce, gerekli tüm şeylere sahip olduğunuzdan emin olun. Bu adımın atlanması, yapılandırma sırasında sorunların %80'inin nedenidir.

Router'a erişim: MikroTik'in web arayüzüne (Winbox veya WebFig) yönetici haklarıyla erişiminiz olmalıdır. Winbox, tüm ayarlara tam erişim sağladığı için tercih edilen seçenektir. Bunu MikroTik'in resmi web sitesinden ücretsiz olarak indirebilirsiniz.

RouterOS sürümü: Web Proxy'nin stabil çalışması için RouterOS 6.x veya 7.x önerilir. Sürümü System → Packages üzerinden kontrol edin. Eğer sürüm eskiyse, System → Packages → Check for Updates üzerinden güncelleyin.

Diskte boş alan: Proxy önbelleği router'ın diskinde saklanır. Önbellekleme için en az 50-100 MB boş alan gereklidir. Bunu Winbox'taki Files üzerinden kontrol edin. Küçük flash bellekli router'larda (8 MB ve daha az) önbellekleme kapatılmalıdır.

Ağ şeması: Hangi alt ağlara sahip olduğunuzu, hangi arayüzün internete (WAN) baktığını ve hangisinin iç ağa (LAN) baktığını yazın veya çizin. Bu anlayış olmadan, şeffaf proxy için NAT kurallarını ayarlamak mümkün olmayacaktır.

Adım 1: MikroTik'te Web Proxy'yi etkinleştiriyoruz

Web Proxy'yi etkinleştirmek en basit adımdır. Tüm işlemler Winbox grafik arayüzü üzerinden birkaç dakika içinde yapılır.

Winbox üzerinden (önerilir):

1. Winbox'ı açın ve router'a bağlanın
2. Sol menüden IP → Web Proxy seçeneğini tıklayın
3. Açılan pencerede Enabled seçeneğini işaretleyin
4. Portu ayarlayın - varsayılan olarak 8080, bırakabilir veya değiştirebilirsiniz
5. Max Cache Size alanında önbellek boyutunu belirtin (örneğin, 100 MB) veya alan yeterliyse unlimited seçeneğini seçin
6. Apply butonuna tıklayın, ardından OK butonuna tıklayın

Terminal üzerinden (komut satırını tercih edenler için):

/ip proxy
set enabled=yes port=8080 max-cache-size=100000KiB
  

Etkinleştirdikten sonra, proxy'nin çalıştığını kontrol edin. Terminalde şu komutu çalıştırın:

/ip proxy print
  

Çıktıda enabled: yesenabled: no görüyorsanız, bir şeyler ters gitmiş demektir, adımları tekrar edin.

Bu aşamada proxy etkin, ancak trafiği otomatik olarak yakalamıyor. Kullanıcıların, tarayıcı ayarlarında bunu manuel olarak girmesi gerekiyor (router IP'si, port 8080). Tüm ağ için bunu otomatik hale getirmek için şeffaf moda ihtiyacınız var, bunu bir sonraki adımda anlatacağız.

Ayrıca Cache Path parametresine dikkat edin - bu, önbelleğin nerede saklandığını belirtir. Varsayılan olarak, router'ın yerleşik belleğidir. Eğer bir USB bellek veya hafıza kartınız varsa, önbelleği oraya taşımak daha iyidir - bu, hacmi artırır ve yerleşik belleğin aşınmasını azaltır.

Adım 2: Firewall NAT üzerinden şeffaf proxy ayarı

Şeffaf proxy, yerel ağdan gelen tüm HTTP trafiğinin otomatik olarak proxy sunucusu üzerinden yönlendirilmesi modudur. Kullanıcıların tarayıcılarında herhangi bir ayar yapmasına gerek yoktur. Çalışan açısından her şey normal çalışıyormuş gibi görünür, ancak aslında her istek proxy üzerinden geçer.

Bu, MikroTik'in güvenlik duvarındaki bir NAT kuralı aracılığıyla gerçekleştirilir. Kural, tüm çıkış TCP trafiğini 80 numaralı porttan (HTTP) yakalar ve bunu proxy portuna (8080) yönlendirir.

Winbox üzerinden:

1. IP → Firewall → NAT menüsüne gidin
2. + butonuna tıklayın (kural ekle)
3. General sekmesinde şunları ayarlayın:
   • Chain: dstnat
   • Protocol: tcp
   • Dst. Port: 80
   • In. Interface: LAN arayüzünüz (örneğin, ether2 veya bridge-local)
4. Action sekmesinde şunları ayarlayın:
   • Action: redirect
   • To Ports: 8080
5. OK butonuna tıklayın

Terminal üzerinden:

/ip firewall nat
add chain=dstnat protocol=tcp dst-port=80 in-interface=ether2 \
    action=redirect to-ports=8080
  

ether2 yerine LAN arayüzünüzün adını yazın. Birden fazla LAN arayüzünüz varsa ve bunlar bir köprüde birleştirilmişse, köprü arayüzünün adını belirtin.

Kuralı ekledikten sonra çalışıp çalışmadığını kontrol edin: yerel ağdaki bir bilgisayardan herhangi bir HTTP sitesini açın. Proxy düzgün çalışıyorsa, sayfa açılacak ve proxy günlüklerinde (IP → Web Proxy → Access) bir kayıt görünecektir. Sayfa açılmıyorsa, arayüz adını ve proxy portunu kontrol edin.

Adım 3: Filtreleme kuralları - siteleri ve kategorileri engelleme

Bu, çalışanların internete erişimini kontrol etmek isteyenler için ana bölümdür. MikroTik'teki Web Proxy, belirli alan adlarını, URL kalıplarını engellemek veya tam tersine yalnızca belirli kaynaklara izin vermek için esnek kurallar oluşturmanıza olanak tanır.

Erişim kuralları IP → Web Proxy → Access bölümünde ayarlanır. Her kuralın koşulları (ne kontrol edileceği) ve eylemi (ne yapılacağı: allow veya deny) vardır.

Belirli bir alan adını engelleme (örneğin, vk.com):

/ip proxy access
add dst-host=vk.com action=deny comment="VK'yi Engelle"
add dst-host=*.vk.com action=deny comment="VK alt alan adlarını Engelle"
  

URL maskesine göre engelleme (örneğin, tüm YouTube sayfaları):

/ip proxy access
add dst-host=*.youtube.com action=deny comment="YouTube'yu Engelle"
add dst-host=youtube.com action=deny comment="YouTube ana sayfasını Engelle"
  

Yalnızca belirli bir alt ağa erişime izin verme (örneğin, yalnızca IT departmanı GitHub'a girebilir):

/ip proxy access
add src-address=192.168.1.10/32 dst-host=github.com action=allow
add dst-host=github.com action=deny
  

Dosya uzantısına göre engelleme (örneğin, .exe, .torrent indirmeyi yasaklama):

/ip proxy access
add path=*.exe action=deny comment="EXE indirmelerini Engelle"
add path=*.torrent action=deny comment="Torrent dosyalarını Engelle"
add path=*.zip action=deny comment="ZIP indirmelerini Engelle"
  

Kuralların sırasına dikkat edin: MikroTik, bunları yukarıdan aşağıya kontrol eder ve ilk eşleşmede durur. Belirli IP'ler için allow kuralları, aynı alan adları için deny kurallarından daha yukarıda olmalıdır.

Winbox üzerinden kurallar IP → Web Proxy → Access sekmesi → + butonu ile eklenir. Arayüz sezgisel olarak anlaşılır: koşulu (Source Address, Destination Host, Path, Method) ve eylemi (Allow/Deny) seçersiniz.

Adım 4: Kanal tasarrufu için trafiği önbelleğe alma

Önbellekleme, MikroTik'te proxy'nin küçük ofislerde ve eğitim kurumlarında neden etkinleştirildiğinin başlıca nedenlerinden biridir. Prensip basittir: 20 çalışan aynı haber sayfasını açıyorsa, önbellek olmadan router bunu 20 kez indirir. Önbellekleme ile - bir kez, diğer 19'u router'ın yerel belleğinden anında veri alır.

Önbellek ayarları IP → Web Proxy bölümünde bulunur. Temel parametreler:

Terminal üzerinden ayarlama:

/ip proxy
set max-cache-size=102400KiB \
    max-cache-object-size=4096KiB \
    max-fresh-time=3d
  

Önbelleğin etkinliğini kontrol etmek için şu komutu kullanın:

/ip proxy monitor
  

hits ve misses göstergelerine dikkat edin. İyi bir gösterge, hits'in toplam isteklerin %20-40'ını oluşturmasıdır. Eğer hits sıfıra yakınsa, ya çoğu trafik HTTPS'tir (önbelleğe alınmaz) ya da önbellek çok küçüktür.

Önemli bir nokta: Modern web siteleri giderek daha fazla Cache-Control: no-store veya no-cache başlıkları kullanarak önbelleğe almayı yasaklamaktadır. Bu nedenle pratikte 2024'te önbelleğin etkinliği, 5-10 yıl öncesine göre daha düşüktür. Ancak statik kaynaklar (görüntüler, CSS, JS dosyaları) için önbellek hala iyi çalışmaktadır.

Adım 5: MikroTik üzerinden harici proxy sunucusuna bağlanma

Bu, yalnızca trafiği filtrelemekle kalmayıp, kurumsal ağın veya belirli cihazların internete çıkış yaptığı IP adresini tamamen kontrol etmek isteyenler için en ilginç senaryodur. MikroTik, tüm yerel proxy'den gelen isteklerin üst düzey bir harici proxy sunucusuna iletildiği Parent Proxy işlevini destekler.

Pratikte bunun neden gerekli olduğu:

• Tüm ağ için IP değişimi - ofisin tüm trafiği harici proxy'nin IP'si üzerinden çıkar, gerçek IP'niz üzerinden değil
• Bölgesel kısıtlamaların aşılması - bölgenizde engellenmiş kaynaklara erişim
• Farklı cihazlar için farklı IP'ler - yönlendirme ile farklı çalışma istasyonları farklı harici proxy'leri kullanır
• Şirketin gerçek IP'sinin korunması - harici hizmetler proxy IP'sini görür, sizin kurumsal adresinizi değil

Winbox üzerinden Parent Proxy ayarı:

1. IP → Web Proxy menüsüne gidin
2. Parent Proxy bölümünü bulun
3. Parent Proxy Address - harici proxy sunucusunun IP adresini girin
4. Parent Proxy Port - proxy portunu belirtin (genellikle 8080, 3128 veya başka bir port)
5. Apply butonuna tıklayın

Terminal üzerinden:

/ip proxy
set parent-proxy=203.0.113.10 parent-proxy-port=8080
  

203.0.113.10 ve 8080 yerine harici proxy sunucunuzun gerçek bilgilerini yazın.

Kurumsal görevler için, istikrar ve anonimlik önemli olduğunda, parent proxy olarak konut proxy'leri kullanılır - bunlar gerçek ev kullanıcılarının IP adreslerine sahiptir, bu da trafiği normal kullanıcı trafiğinden ayırt edilemez hale getirir. Bu, davranış ve bağlantı türünü analiz eden platformlarla çalışırken özellikle önemlidir.

Ekibinizin mobil trafiği taklit etmesi gerekiyorsa - örneğin, Facebook Ads veya Instagram'da mobil cihazlardan reklam kampanyalarını test etmek için - parent proxy olarak mobil proxy'ler uygundur. Bunlar, gerçek mobil operatörlerin SIM kartları üzerinden çalışır ve 3G/4G/5G mobil ağların IP'lerini sağlar.

İsteklerin izlenmesi ve günlüğe kaydedilmesi

Kurumsal ortamda proxy'nin en önemli avantajlarından biri, kullanıcıların internette ne yaptığını görebilme imkanıdır. MikroTik Web Proxy, tüm HTTP isteklerini günlüğe kaydedebilir: kim (IP adresi), nereye (URL), ne zaman, hangi istek yöntemi ve yanıt durumu.

Günlüğe kaydetmeyi etkinleştirme:

/ip proxy
set log-connect=yes
  

Günlüğe kaydetmeyi etkinleştirdikten sonra, günlükler Log bölümünde (Winbox menüsü) görünecektir. Kolay bir görüntüleme için web-proxy konusuna göre filtreleyin.

Uzun vadeli günlük saklama ve kolay analiz için, dış bir Syslog sunucusuna gönderimi ayarlayın:

/system logging action
add name=remote-syslog target=remote remote=192.168.1.100 remote-port=514

/system logging
add action=remote-syslog topics=web-proxy
  

192.168.1.100 adresini kendi syslog sunucunuzun IP'si ile değiştirin. Syslog sunucusu olarak Graylog, Splunk veya basit bir rsyslog kullanabilirsiniz.

Ayrıca, proxy'nin gerçek zamanlı istatistiklerini görüntülemek için faydalı bir komut:

/ip proxy monitor
  

Burada, aktif bağlantı sayısını, toplam istek sayısını, önbelleğe alınan istekleri ve iletilen veri miktarını göreceksiniz. Bu veriler, router üzerindeki yükü ve önbelleklemenin etkinliğini değerlendirmeye yardımcı olur.

GDPR ve iş yasaları ile ilgili önemli bir not: Eğer çalışanların trafiğini günlüğe kaydediyorsanız, bunun iş sözleşmesinde veya kurumsal güvenlik politikasında öngörülmüş olduğundan emin olun. Birçok ülkede, çalışanların internet etkinliğinin izlenmesi, kendilerine bildirilmeden yasadışı bir durumdur.

Sık karşılaşılan hatalar ve bunları nasıl düzelteceğiniz

MikroTik'te Web Proxy ayarlarken karşılaşılan en yaygın sorunları ve bunların çözüm yollarını derledik.

Hata 1: Şeffaf proxy ayarlandıktan sonra internet çalışmamaya başladı

Neden: NAT kuralında LAN arayüzü yanlış belirtilmiş veya kural yanlış bir pozisyonda.

Çözüm: Arayüz adını /interface print komutuyla kontrol edin. Kullanıcıların bağlı olduğu arayüzü doğru belirttiğinizden emin olun. Eğer köprü kullandıysanız, fiziksel port yerine köprü adını belirtin.

Hata 2: HTTPS siteleri Web Proxy kurallarıyla engellenmiyor

Neden: MikroTik'teki Web Proxy, HTTPS trafiğini yakalamaz. IP → Web Proxy → Access bölümündeki kurallar yalnızca HTTP için geçerlidir.

Çözüm: HTTPS sitelerini engellemek için Layer 7 Protokollerini veya güvenlik duvarındaki Adres Listelerini kullanın. Örneğin, gerekli sitenin IP adreslerini bir listeye ekleyin ve IP → Firewall → Filter Rules üzerinden engelleyin.

Hata 3: Proxy çalışıyor, ancak önbellek dolmuyor

Neden: Çoğu modern web sitesi HTTPS kullanıyor ve önbelleğe almayı yasaklayan başlıklar içeriyor. Önbellek yalnızca HTTP için çalışır.

Çözüm: Bu, modern web için normal bir davranıştır. Önbellek, HTTP sitelerinden statik kaynaklarla (görüntüler, dosyalar) dolacaktır. Eğer önbellek kritikse, ayrı bir sunucuda SSL-bump ile Squid gibi özel çözümleri düşünün.

Hata 4: Proxy etkinleştirildikten sonra router yavaş çalışmaya başladı

Neden: Router'ın zayıf işlemcisi, çok sayıda kullanıcıdan gelen proxy yüküyle başa çıkamıyor.

Çözüm: CPU yükünü /system resource print komutuyla kontrol edin. Eğer CPU sürekli %80'in üzerindeyse, önbellek boyutunu azaltın veya proxy'yi ayrı bir sunucuya (Ubuntu/Debian'da Squid) taşıyın. Bu durumda MikroTik, yalnızca trafiği harici proxy'ye yönlendiren bir geçit olarak kullanılacaktır.

Hata 5: Parent Proxy çalışmıyor - siteler gerçek IP üzerinden açılıyor

Neden: MikroTik'teki Parent Proxy, yalnızca gerçekten Web Proxy üzerinden geçen trafiğe uygulanır. HTTPS istekleri ve NAT kuralıyla yakalanmayan trafik doğrudan gider.

Çözüm: Şeffaf proxy kuralının (8080 portuna yönlendirme) aktif olduğundan ve doğru pozisyonda bulunduğundan emin olun. Tüm trafiği harici proxy üzerinden yönlendirmek için daha karmaşık bir ayar gereklidir; Policy Based Routing kullanarak.

Sonuç

MikroTik'te Web Proxy ayarlamak, ek sunucular ve lisanslar olmadan kurumsal trafiği kontrol etmek için pratik bir çözümdür. Birkaç adımda şunları elde edersiniz: istenmeyen siteleri filtreleme, kanal tasarrufu için önbellekleme, kullanıcı etkinliğini günlüğe kaydetme ve trafiği harici proxy sunucuları üzerinden yönlendirme imkanı.

Unutulmaması gereken en önemli şey: MikroTik'in yerleşik proxy'si HTTP trafiği ile iyi çalışır, ancak modern kurumsal ağın tam korunması için, trafiğin %95'inin HTTPS olduğu durumlarda, bu olanaklar yetersiz kalır. Bu tür durumlarda MikroTik, bir geçit ve yönlendirici olarak kullanılırken, filtreleme ve trafik denetimi işlevleri özel çözümlere devredilir.

Eğer amacınız, tüm kurumsal ağın güvenilir bir harici proxy ile sabit bir IP veya adres havuzundan geçmesini sağlamaksa, veri merkezi proxy'lerine göz atın - bunlar yüksek hız ve stabil bağlantı sağlar, bu da bir ofis için parent proxy olarak kullanıldığında kritik öneme sahiptir. Maksimum anonimlik ve trafiğin ayırt edilemez olması gereken durumlar için...