Tek bir sunucum var; TR7 Load Balancer kullanmanın bana bir faydası olur mu?

Kısa cevap

Evet. Tek sunucuda da TR7, sunucuyu doğrudan internete açmadan onun önünde durur: TLS sonlandırma ve güvenlik denetimleri önde yapılır, Manage HTTP Security Headers gibi action'larla yanıt header'ları uygulamaya dokunmadan düzenlenir, sunucu yanıt vermediğinde ya da bakımdayken tarayıcı hatası yerine Show Content for Traffic Manager Errors ile özel bir sayfa gösterilir, erişim logları Logs profiliyle SIEM'e gönderilir ve tüm trafik Dashboard'dan izlenir. İkinci sunucu gerektiğinde mimari değişmeden eklenir.

Nasıl Çalışır?

İstemci yalnızca TR7 üzerindeki vService adresine bağlanır. vService isteği işler ve tek Kurum Servisi'e iletir; sunucunun gerçek adresi dışarıya görünmez.

İstemci → TR7 · vService 203.0.113.10:443 → Kurum Servisi

TR7 · vService

TLS sonlandırma
Güvenlik denetimi
Header düzenleme
Cache ve compression
Hata / bakım sayfası
Log, SIEM ve izleme

Kurum Servisi

192.0.2.11:80

Yalnızca uygulamayı çalıştırır; doğrudan erişime kapatılabilir.

Tek Sunucuda Ne Kazandırır?

Sunucuyu doğrudan yayınlamak	TR7 önünde
Sertifika ve TLS ayarları sunucuda yönetilir.	TLS, vService'te sonlandırılır; sertifika TR7'de, TLS sürümü ve cipher ayarları TLS Security Profiles ile yönetilir.
Sunucu internete doğrudan açıktır.	İstekler sunucuya ulaşmadan TR7'de süzülür: Source IP condition'ı (IP, ülke, ASN) ve Block action'ı ile erişim kısıtı, L7 DDoS Protection ile istek hacmi limitleri; lisanslıysa WAF - WAAP ve AGS - AAM.
Güvenlik header'ları uygulama kodunda ya da web sunucusunda tek tek eklenir.	Manage HTTP Security Headers action'ı yanıtlara HSTS, Content-Security-Policy, X-Frame-Options gibi header'ları ekler; Remove Server Fingerprints seçeneği Server ve X-Powered-By header'larını yanıttan temizler.
Uygulamanın beklediği header'lar (ör. X-Forwarded-Proto) için kod değişikliği gerekir.	Add HTTP Header, Set HTTP Header ve Delete HTTP Header action'larıyla istek ve yanıt header'ları TR7'de eklenir, değiştirilir ya da silinir.
Sunucu çöktüğünde kullanıcı tarayıcı hatası görür.	TR7'nin ürettiği 503 gibi hatalarda Show Content for Traffic Manager Errors ile özel bir sayfa gösterilir.
Bakım sırasında site erişilemez görünür.	Kurum Servisi Maintenance Mode'a alınır; Content Pages altında hazırlanan bakım sayfası Show Content for Traffic Manager Errors action'ıyla kullanıcılara gösterilir.
Erişim logları sunucuda kalır; SIEM'e göndermek için sunucuya ajan kurulur.	Logs profili erişim loglarını CEF ya da TR7 JSON gibi formatlarda syslog/SIEM sunucularına gönderir; WAF profili olan vService'te WAF alanları da loga eklenir.
Sunucunun adresi veya sertifikası değişince istemciler etkilenir.	İstemci hep aynı vService adresine bağlanır; arkadaki değişiklik görünmez.
Sıkıştırma ve önbellek sunucunun işidir.	HTTP vService'te Compression ve Cache profilleri bu işi TR7'de yapar; sunucunun yükü azalır.
Trafiğin durumu görülmez.	vService Dashboard'u, Live Stats ve HTTP Logs ekranlarıyla izlenir.
Kapasite yetmeyince mimari değişir.	İkinci sunucu hedef listesine eklenerek devreye alınır; istemci tarafında hiçbir şey değişmez.

TR7'de Tek Sunucuyla Başlamak

1. Sunucu tanımlanır. Sunucu Load Balancer → Backend Services altında bir Kurum Servisi olarak eklenir. İleride sunucu sayısı artacaksa baştan Backend Group olarak tanımlanması önerilir; yeni sunucu eklemek grubun sunucu listesine bir satır (adres:port) eklemek olur.
2. Health check atanır. Kurum Servisi formundaki Health Check alanından bir Health Checks profili seçilir. Alanın varsayılanı No Check'tir; bu durumda sunucu yanıt vermese bile sağlıklı kabul edilir.
3. vService oluşturulur. Kurum Servisi, vService'in Default Backend Services listesine eklenir. vService'in dinleyeceği IP önceden Network → Interfaces altında bir arayüze eklenmiş olmalıdır (İlk vService'imi kurmak için en temel adımlar nelerdir?).
4. Hata sayfası tanımlanır (isteğe bağlı). Sunucuya ulaşılamadığında gösterilecek sayfa önce Load Balancer → Profiles → Content Pages → Add ile hazırlanır, ardından Show Content for Traffic Manager Errors action'ıyla vService'e bağlanır (TR7'nin kendi ürettiği 503/502/504 hataları için özel sayfa gösterebilir miyim?).

Sık Karıştırılan Noktalar

• "Load balancer yalnızca birden fazla sunucu için gerekir." Load balancer aynı zamanda sunucunun önündeki güvenlik ve teslim katmanıdır; bu işlevler tek sunucuda da çalışır.
• "TR7 önüne konunca sunucuda hiçbir şey değişmez." Sunucu artık istekleri TR7'nin IP adresinden görür. Loglarda gerçek istemci IP'si isteniyorsa X-Forwarded-For ya da SNAT → Use Client IP kullanılır: Backend sunucularım neden tüm istekleri TR7'nin IP'sinden geliyormuş gibi görüyor?
• "WAF, Load Balancer'a dahildir." WAF - WAAP ayrı lisanslanan bir üründür. Load Balancer - ADC tek başına condition ve action'larla IP ve ülke kısıtı gibi erişim kontrolleri sunar.
• "Güvenlik header'ları TR7'nin kendi ürettiği sayfalara da eklenir." Manage HTTP Security Headers yalnızca Kurum Servisinden dönen yanıtlara uygulanır; TR7'nin ürettiği engelleme, yönlendirme ve hata sayfaları bu action'dan etkilenmez.

Dokümantasyonda nasıl yapılır

• Load Balancer - ADC · Nedir?
• Manage HTTP Security Headers · Seçilebilir güvenlik başlıkları
• Logs · SIEM entegrasyonu
• Backend Services · Maintenance Mode
• Show Content for Traffic Manager Errors

İlgili sorular

• Load balancer nedir, ne işe yarar?
• Tek sunucum olsa bile Backend Group oluşturmalı mıyım?
• Bakım sayfasını nasıl yayınlarım?
• Backend sunucularım neden tüm istekleri TR7'nin IP'sinden geliyormuş gibi görüyor?