Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
IPFIX ile akış verisi gönderebilir miyim?
Kısa cevap
Evet. Load Balancer → Actions ekranında Action Type olarak IPFIX Log Sending seçilir, Collector Address (IPv4 adres ve UDP port) ve Send Type (Enterprise ya da Standart) girilir ve aksiyon HTTP vService'e eklenir. Her HTTP işlemi için bir IPFIX kaydı yanıt işlenirken UDP ile toplayıcıya gönderilir; kayıt kaynak ve hedef adres ile port, Host, yol, metot, durum kodu, User-Agent ve bayt sayıları gibi 21 alan taşır (gönderilen alanlar). Aksiyon koşul almaz, bütün isteklere uygulanır ve bir vService'e yalnızca bir tane eklenir.
Sorun: HTTP Trafiği Akış Toplayıcısında Görünmüyor
Ağ ekibi trafik analizini bir IPFIX toplayıcısında (ör. Graylog) yapıyor; TR7 üzerinden geçen HTTP işlemlerinin de akış kaydı olarak aynı toplayıcıya gönderilmesi isteniyor.
Çözüm
Akış kayıtları, HTTP vService'e eklenen IPFIX Log Sending aksiyonuyla gönderilir. Gönderim syslog'a giden log satırlarından ve Log Forwarding ayarlarından bağımsızdır; ikisi birlikte çalışabilir (diğer log mekanizmalarıyla ilişkisi).
IPFIX Log Sending
- Nasıl çalışır Aksiyon her HTTP işleminin bilgilerini istek ve yanıt aşamasında toplar; yanıt işlenirken bir IPFIX kaydı üretip UDP ile toplayıcıya gönderir. Keep-alive bağlantıdan geçen her istek ayrı bir kayıttır.
- Nerede açılırLoad Balancer → Actions → Action Type = IPFIX Log Sending
- Gereksinim TR7'den toplayıcının UDP portuna (ör. 4739) erişim; IPv4 toplayıcı adresi
- vService tipi HTTP
- Ayar değişikliği Aksiyonun eklenmesi ve Collector address ya da Send type değişikliği açık bağlantılar kopmadan uygulanır.
Adım adım yapılandırma
1
Adım 1 Aksiyon formunu aç
Load Balancer → Actions ekranında Add butonuna tıklanır (nasıl eklenir).
2
Adım 2 Toplayıcıyı tanımla
Action Name girilir, Action Type = IPFIX Log Sending seçilir. Collector Address alanına toplayıcının IPv4 adresi ve UDP portu girilir (ör. 192.0.2.60 ve 4739). Send Type olarak Graylog gibi TR7 alan tanımını yükleyebilen toplayıcılar için Enterprise, genel IPFIX toplayıcıları için Standart seçilir. Enterprise seçildiğinde formda Graylog tanım dosyasının bağlantısı görünür (Graylog entegrasyonu). Aksiyonda koşul alanı yoktur.
3
Adım 3 Aksiyonu kaydet
Add butonuna tıklanır.
4
Adım 4 vService'in düzenleme formunu aç
Load Balancer → Load Balancer vService List ekranında HTTP vService'e sağ tıklanıp Edit seçilir.
5
Adım 5 Aksiyonu vService'e ekle
Details panelindeki Actions alanında aksiyon seçilir. Aksiyon vService'e eklenmedikçe çalışmaz.
6
Adım 6 Kaydet
Save butonuna tıklanır. Değişiklik açık bağlantılar kopmadan uygulanır; ilerleme ekranın sağ altındaki senkron göstergesinden izlenir. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.
Doğrulama
1ToplayıcıToplayıcı sunucusu
vService'e istek gönderilir ve toplayıcıda kayıt aranır; paketlerin geldiği toplayıcı sunucusunda da görülebilir.
Komut: tcpdump -ni any udp port 4739
Beklenen
Her HTTP isteği için bir akış kaydıSık Yapılan Hatalar
Çerez içeriği açık metin olarak gönderilir
Kayıtlardaki httpCookie alanı çerez başlığının tamamını taşır ve UDP ile şifrelenmeden gönderilir. Toplayıcı güvenli bir yönetim ağında konumlandırılır ve erişimi kısıtlanır (gönderim davranışı).
- IPv6 toplayıcı adresi girmek. Adres kabul edilir ama kayıt gönderilmez ve uyarı da üretilmez; toplayıcı IPv4 adresle tanımlanır.
- L7 TCP ya da Network vService'te aksiyon aramak. IPFIX Log Sending yalnızca HTTP vService'te çalışır.
- Aynı vService'e ikinci IPFIX aksiyonu eklemeye çalışmak. vService başına bir IPFIX aksiyonu eklenir.
- Kayıp kayıtlarda uyarı beklemek. Gönderim UDP ile ve onay beklenmeden yapılır; toplayıcıya ulaşmayan kayıt sessizce kaybolur, istek ve yanıt akışı etkilenmez.
- Ip log masking'in IPFIX'i de maskelediğini sanmak. IPFIX kayıtları gerçek istemci adresini taşır (KVKK / GDPR için loglardaki IP adreslerini maskeleyebilir miyim?).
Dokümantasyonda nasıl yapılır
