SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Temel

Backend sunucularım neden tüm istekleri TR7'nin IP'sinden geliyormuş gibi görüyor? ​

Kısa cevap

TR7, HTTP ve L7 TCP vService'lerde bir Reverse Proxy olarak çalışır: istemcinin bağlantısını sonlandırır ve Kurum Servisine yeni bir bağlantıyı kendisi açar. Kurum Servisinin SNAT alanı varsayılan değeri Default'ta bırakıldığında bu bağlantının kaynak adresi, Kurum Servisinin Route Table'ında sunucuya giden trafiğin çıktığı arayüzün, sunucuyla (gateway üzerinden gidiliyorsa gateway'le) aynı subnet'teki Interface IP'sidir; bu yüzden sunucu bütün istekleri TR7'den geliyor görür. Bu bir hata değil, varsayılan davranıştır; istemci IP'si X-Forwarded-For, Use Client IP, PROXY protokolü ya da Network vService'te LB Mode ile iletilir (Backend'de gerçek istemci IP'sini nasıl görürüm?).

Temel Bilgi

Bir TCP bağlantısı dört değerle tanımlanır: kaynak IP, kaynak port, hedef IP ve hedef port. Sunucu yanıtı her zaman isteğin kaynak IP'sine gönderir. Reverse Proxy, istemciyle bir bağlantı, sunucuyla ayrı bir bağlantı kurar; sunucu yalnızca ikinci bağlantıyı, yani proxy'nin adresini görür. Bu yüzden istemcinin adresi sunucuya ancak başka bir yolla (HTTP başlığı, PROXY protokolü ya da kaynak adresin korunması) taşınır.

Nasıl Çalışır? ​

  1. İstemci (ör. 198.51.100.45) vService adresine bağlanır.
  2. TR7 bağlantıyı sonlandırır, isteği işler ve Kurum Servisini seçer.
  3. TR7, Kurum Servisine yeni bir bağlantı açar. SNAT = Default'ta kaynak adres, Kurum Servisinin Route table'ında sunucuya giden trafiğin çıktığı arayüzün, sunucuyla aynı subnet'teki Interface IP'sidir (sunucuya gateway üzerinden gidiliyorsa gateway'le aynı subnet'teki Interface IP'si). Cluster'da her cihaz kendi Interface IP'sini kullanır. O subnet'te arayüze birden fazla IP eklenmişse hangisinin kullanılacağı arayüzdeki sıradan anlaşılmaz; belirli bir adres gerekiyorsa Use Device IP seçilir.
  4. Kurum Servisi isteği TR7'den gelmiş görür ve yanıtı TR7'ye gönderir; TR7 yanıtı istemciye iletir.

Örnek: Route table'da 192.0.2.5/24 Interface IP'si olan TR7, 192.0.2.20 adresindeki sunucuya 192.0.2.5 kaynağıyla bağlanır. Sabit bir kaynak adres isteniyorsa Use Device IP ile Route table'daki IP'lerden biri seçilir (SNAT alanındaki "Default" ne anlama gelir; özel bir SNAT IP'si seçebilir miyim?).

İstemci 198.51.100.45 → TR7 (vService) → Kurum Servisi
X-Forwarded-For kapalı (varsayılan)
Kurum Servisinin gördüğü kaynak:
TR7'nin IP adresi (192.0.2.5)
Tüm istekler tek adresten geliyor görünür.
X-Forwarded-For açık
Bağlantı kaynağı: TR7'nin IP adresi
X-Forwarded-For: 198.51.100.45
Gerçek istemci IP'si başlıkla iletilir.

Neden Varsayılan Bu? ​

  • Dönüş yolu kendiliğinden doğrudur. Sunucu yanıtı isteğin kaynak IP'sine gönderir. Kaynak TR7 olduğunda yanıt, sunucunun yönlendirmesi ne olursa olsun TR7'ye döner; sunucularda ve ağda hiçbir değişiklik gerekmez.
  • Simetrik akış korunur. İstemcinin IP'siyle bağlanılırsa sunucu yanıtı kendi default gateway'ine gönderir. Gateway TR7 değilse yanıt TR7'yi atlar: TR7 bağlantıyı tamamlayamaz, istemci de beklemediği bir adresten (vService IP'si yerine sunucunun IP'si) gelen paketi reddeder. Arada durum tutan (stateful) bir firewall varsa tek yönünü gördüğü akışı düşürür.
  • Ağ topolojisinden bağımsızdır. Sunucu TR7 ile aynı subnet'te olmak zorunda değildir; TR7'nin Route table'ından erişilebilen her ağdaki sunucu kullanılabilir.
  • Bedeli istemci IP'sidir. Sunucu istemcinin adresini bağlantıdan göremez; bu yüzden HTTP'de X-Forwarded-For, diğer durumlarda PROXY protokolü ya da kaynak adresi koruyan Use Client IP kullanılır. Use Client IP, yanıtların TR7 üzerinden dönmesini gerektirir: sunucuların default gateway'i TR7 olur ya da Spoofing açılır (SNAT nedir, neden varsayılan olarak kullanılıyor?).

vService Tipine Göre ​

vService tipiSunucunun gördüğü kaynak (varsayılan)İstemci IP'sini iletme yolu
HTTPTR7'nin IP'si (SNAT Default)X-Forwarded-For, Use Client IP, PROXY protokolü, Add HTTP Header aksiyonu
L7 TCPTR7'nin IP'si (SNAT Default)Use Client IP, PROXY protokolü
NetworkLB mode'a bağlı: Direct Server Return (varsayılan) ve Route Mode'da istemcinin IP'si, SNAT modunda seçilen SNAT IPLB Mode; Network vService'te Kurum Servisinin SNAT alanı kullanılmaz

Etkisi ​

  • Sunucunun erişim logları ve analizleri bütün trafiği tek adresten gelmiş gösterir.
  • Sunucudaki IP tabanlı kısıtlamalar ve istek limitleri bütün kullanıcıları tek istemci sayar.
  • Uygulamanın güvenlik kararları istemcinin değil TR7'nin adresiyle verilir.

Sık Karıştırılan Noktalar ​

Dokümantasyonda nasıl yapılır

İlgili sorular