SNAT kullanmadan (transparent mode) çalışmak mümkün mü; gereksinimleri nelerdir?

Kısa cevap

Evet. HTTP ve L7 TCP vService'lerde Kurum Servisinin SNAT alanında Use Client IP seçilir; TR7 sunucuya istemcinin IP'siyle bağlanır. Bunun için sunucunun yanıtları TR7 üzerinden dönmelidir: sunucunun default gateway'i TR7 yapılır ya da TR7'nin bağlı olduğu subnet'teki sunucular için Spoofing açılır. Network vService'te ise LB Mode olarak Direct Server Return (varsayılan) ya da Route Mode istemci IP'sini korur.

Nasıl Çalışır?

Sunucu yanıtı her zaman isteğin kaynak adresine gönderir. Kaynak istemcinin IP'si olduğunda yanıt, sunucunun default gateway'ine gider. Gateway TR7 değilse yanıt TR7'yi atlar; istemci, bağlandığı vService adresinden değil sunucunun adresinden gelen paketi tanımaz ve bağlantı kurulamaz. Bu yüzden SNAT kullanılmayan her düzende dönüş trafiği TR7'ye yönlendirilir.

HTTP ve L7 TCP: Use Client IP

Gereksinim	Açıklama
SNAT = Use Client IP	Kurum Servisinde (ya da Backend Group'ta) Details → SNAT alanında seçilir; varsayılan Default'tur
Dönüş trafiği TR7'den	Sunucu, istemciye giden yanıtları TR7'ye göndermelidir; yoksa istemci bağlantı kurmadığı sunucudan yanıt alır ve bağlantı kurulamaz
Yol 1: Default Gateway	Sunucunun default gateway'i TR7'nin sunucuyla aynı ağdaki adresi yapılır (cluster'da bu ağdaki VIP; böylece failover'da gateway eş cihaza geçer)
Yol 2: Spoofing	Spoofing açılır (varsayılan kapalı; alan yalnızca Use Client IP seçiliyken görünür); TR7, Kurum Servisinin ağında ARP ile sunucunun gateway'e giden yanıtlarını üstlenir. Spoofing IP boşsa Route table'ın default gateway'i hedeflenir; cluster'da Spoofing IP VIP Condition ile VIP'in etkin olduğu cihazda çalışır. Kurum Servisi TR7'nin bağlı olduğu bir subnet'te olmalıdır

Network vService

LB mode	İstemci IP'si	Gereksinim
Direct Server Return (varsayılan)	Korunur	Sunucu TR7 ile aynı L2'de; vService adresi sunucuda yerel adres, bu adres için ARP'ye yanıt vermez (Direct Server Return (DSR) nedir; sunucu tarafında ne hazırlık gerekir?)
Route Mode	Korunur	Yanıt TR7'den dönmeli: sunucunun default gateway'i TR7 (Route Mode'da dönüş trafiği neden TR7 üzerinden akmak zorunda?)
SNAT	Kaybolur (kaynak vService'teki SNAT IP olur)	Yok

Network vService'te Kurum Servisinin SNAT alanı kullanılmaz; davranışı LB Mode belirler.

TR7'de

• Alternatifler: HTTP'de istemci IP'si X-Forwarded-For başlığıyla, sunucu destekliyorsa Kurum Servisinin Proxy alanıyla PROXY protokolü üzerinden de taşınır; bu yollar ağ yapısında değişiklik gerektirmez (Backend'de gerçek istemci IP'sini nasıl görürüm?).
• Health check: Use Client IP health check'i etkilemez; denetim Health Check Source IP alanına göre TR7'nin adresinden gider.
• Görünüm: Kurum Servisi önizlemesinin Details sekmesinde SNAT satırı Use Client IP'yi gösterir; Spoofing açıksa Spoofing satırı da listelenir (Details satırları).

Sık Karıştırılan Noktalar

• "Use client IP seçmek yeterlidir." Yanıtlar TR7'den dönmezse bağlantılar kurulamaz.
• "Uzak bir veri merkezindeki sunucuda Use client IP her durumda çalışır." Uzak sunucunun yanıtları ağda TR7 üzerinden yönlendirilmedikçe TR7'yi atlar ve bağlantı kurulamaz; Spoofing yalnızca TR7'nin bağlı olduğu subnet'teki sunucular için kullanılabilir.
• "Network vService'te Kurum Servisindeki Use client IP geçerlidir." Network vService'te LB mode belirleyicidir.

Dokümantasyonda nasıl yapılır

• Backend Services · Use Client IP
• Backend Services · Spoofing
• Network vService · LB Mode

İlgili sorular

• Kurum Servisindeki SNAT seçenekleri (Default, Use Client IP, Use Device IP) arasındaki fark nedir?
• Route Mode'da dönüş trafiği neden TR7 üzerinden akmak zorunda?
• Backend sunucularım neden tüm istekleri TR7'nin IP'sinden geliyormuş gibi görüyor?