Yönetim arayüzüne erişimi kaybettim (Allowed Networks); CLI'dan nasıl geri açarım?

Kısa cevap

Management Access ekranındaki izinli ağ listeleri HTTP, HTTPS ve SSH için ayrı ayrı tutulur; HTTPS listesi bağlanılan ağı dışarıda bıraktıysa SSH erişimi açık kalmış olabilir. Cihaza SSH ile bağlanılır (kullanıcıda Access CLI over SSH açık olmalıdır) ve aynı CLI'da settings access komutuyla liste düzeltilir: settings access show ile mevcut liste görülür, settings access update --httpsAllowedNetworks.N.ip <ağ-adresi> --httpsAllowedNetworks.N.cidr <cidr> ile ilk boş indekse yönetim ağı eklenir. Liste --httpsAllowedNetworks.delete ile boşaltılırsa ağ kısıtı tamamen kalkar. Arayüz ağ kısıtından değil, servis durduğu için açılmıyorsa sys-cmd management-access status ile durum görülür ve restart ile servis yeniden başlatılır.

Sorun: İzinli Ağ Listesi Yönetim Bağlantısını Dışarıda Bıraktı

Management Access ekranında HTTPS Allowed Networks (ya da HTTP Allowed Networks) listesi daraltıldıktan sonra kaydedildi; yönetim bilgisayarının bağlandığı ağ listede olmadığı için yönetim arayüzü artık açılmıyor. Kaydedilen liste o hizmete yalnızca listedeki ağlardan erişilmesine izin verir. Arayüz açılmadığı için WEB-CLI de kullanılamaz; düzeltme başka bir erişim yolundan yapılır.

Çözüm: İki Yöntem

Önce nedeni ayırmak gerekir: erişim izinli ağ değişikliğinden hemen sonra kesildiyse Yöntem 1, yönetim erişim servisi çalışmıyorsa Yöntem 2 uygulanır. İki yöntem de SSH ile açılan CLI'da yapılır.

Durumunuz	Uygun yöntem
Allowed Networks listesini değiştirdikten sonra arayüze erişemiyorum	Yöntem 1: settings access ile İzinli Ağı Düzelt
Ayar değişmedi; arayüz hiçbir ağdan açılmıyor	Yöntem 2: sys-cmd management-access ile Servisi Denetle

Yöntem 1: settings access ile İzinli Ağı Düzelt Önerilen

• Nasıl çalışırsettings access Management Access ekranındaki ayarların CLI karşılığıdır; her hizmetin izinli ağ listesi --<hizmet>AllowedNetworks.N.ip ve --<hizmet>AllowedNetworks.N.cidr alanlarıyla yazılır. Liste boşsa hizmet, dinlediği adrese ulaşabilen bütün ağlara açıktır.
• Nerede açılır Cihaza SSH ile bağlanılarak açılan CLI (WEB-CLI ile aynı komutlar)
• Gereksinim SSH dinleme adresinin tanımlı olması ve SSH Allowed Networks listesinin bağlanılan ağa izin vermesi; kullanıcıda Access CLI over SSH açık ve Settings alanında değiştirme yetkisi.
• Kapsam Cihazın yönetim erişimi; vService trafiğini etkilemez.

Adım adım yapılandırma

1

Adım 1 Cihaza SSH ile bağlan

Yönetim bilgisayarından cihazın SSH dinleme adresine, Management Access'teki SSH portuyla (varsayılan 22) bağlanılır; oturum açılınca TR7 CLI'ı gelir.

2

Adım 2 Mevcut listeyi gör

Erişim ayarları görüntülenir; HTTPS izinli ağ listesindeki öğeler ve indeksleri not edilir:

settings access show

3

Adım 3 Yönetim ağını ilk boş indekse ekle

Örneğin listede 0 ve 1 indeksli iki ağ varsa yönetim ağı 2 indeksiyle eklenir; var olan bir indekse yazılırsa o indeksteki ağ değişir:

settings access update --httpsAllowedNetworks.2.ip <ağ-adresi> --httpsAllowedNetworks.2.cidr <cidr>

<ağ-adresi> yönetim bilgisayarının TR7'ye göründüğü adresin ağıdır; araya adres çeviren bir cihaz giriyorsa TR7'ye ulaşan kaynak adres esas alınır. Liste en fazla 10 öğe alır. Erişim HTTP üzerinden kullanılıyorsa aynı işlem --httpAllowedNetworks ile yapılır (HTTP).

4

Adım 4 Gerekirse kısıtı kaldır

Yönetim ağı bilinmiyorsa liste geçici olarak boşaltılır; boş listede ağ kısıtı uygulanmaz:

settings access update --httpsAllowedNetworks.delete

Erişim geri gelince liste arayüzden yeniden ve doğru ağlarla tanımlanır.

Doğrulama

1AyarTR7 tarafı

settings access show yeniden çalıştırılır.

BeklenenHTTPS izinli ağ listesinde yönetim ağı var ya da liste boş

2Arayüzİstemci tarafı

Yönetim arayüzü tarayıcıda yeniden açılır.

BeklenenGiriş ekranı görüntülenir

Yöntem 2: sys-cmd management-access ile Servisi Denetle

• Nasıl çalışırsys-cmd management-access yönetim arayüzüne HTTP ve HTTPS üzerinden gelen bağlantıları karşılayan servisi denetler: status servisin durumunu gösterir, restart servisi onayla yeniden başlatır. Servisin dinlediği adresler, portlar ve izinli ağlar bu komutla değişmez.
• Nerede açılır Cihaza SSH ile bağlanılarak açılan CLI
• GereksinimUser Type'ı Admin olan kullanıcı; sistem komutları yalnızca bu kullanıcı tipinde çalışır.
• Kapsam Komutun çalıştırıldığı cihaz; seçili v-device ve route table'dan etkilenmez. Yük dengeleme ve WAF trafiği bu servisten geçmez.

Adım adım yapılandırma

1

Adım 1 Servisin durumunu gör

Active: satırı servisin çalışıp çalışmadığını gösterir (management-access status):

sys-cmd management-access status

Active: satırı	Anlamı
active (running)	Servis çalışıyor; sorun büyük olasılıkla izinli ağ ya da ağ yolundadır (Yöntem 1)
activating	Servis başlatılıyor
inactive (dead) · failed	Servis çalışmıyor; yönetim arayüzüne tarayıcıdan erişilemez

2

Adım 2 Servisi yeniden başlat

Servis çalışmıyor ya da takılmış görünüyorsa yeniden başlatılır:

sys-cmd management-access restart

3

Adım 3 Onayla

Onay ekranında Yönetim erişim servisini yeniden başlatmak üzeresiniz uyarısı çıkar; Türkçe arayüzde evet, İngilizce arayüzde yes yazılır. Başka bir şey yazılırsa Onay geçersiz. İşlem iptal edildi. iletisi çıkar; Esc onay ekranını kapatır.

Doğrulama

1Servis durumuTR7 tarafı

Yeniden başlatmadan sonra durum tekrar okunur.

Komut: sys-cmd management-access status | grep Active

Beklenenactive (running)

Yönetim erişim servisi yeniden başlatıldı. iletisi işlemin sonucuna bakılmadan yazılır; sonuç her zaman status ile doğrulanır.

Sık Yapılan Hatalar

Önce alternatif erişim yolu

İzinli ağ listesi, dinleme adresi ya da port değiştirilmeden önce SSH gibi ikinci bir erişim yolunun açık olduğu doğrulanır. HTTP, HTTPS ve SSH listelerinin hepsi bağlanılan ağı dışarıda bırakırsa bu yolların hiçbirinden düzeltme yapılamaz; bu durumda TR7 destek ekibine başvurulur.

• İzinli ağ alanını tek değerle yazmak. Her öğe iki alandan oluşur: --httpsAllowedNetworks.N.ip ağ adresi, --httpsAllowedNetworks.N.cidr maske uzunluğudur.
• Var olan indekse yazarak ağ eklemek. update komutunda var olan indekse yazılan değer o öğenin yerine geçer; ekleme ilk boş indeksle yapılır (CLI'de dizi / obje alanları (ör. listen) nasıl girilir?).
• settings access reset ile kurtarmaya çalışmak. reset erişim ayarlarının tamamını varsayılana döndürür ve yönetim bağlantısını kesebilir; tek bir listeyi düzeltmek için update kullanılır (init ve reset).
• management-access restart ile izinli ağın açılmasını beklemek. Komut yalnızca servisi yeniden başlatır; adresler, portlar ve izinli ağlar Management Access ayarlarından gelir.
• HTTP listesini düzeltip HTTPS ile bağlanmayı denemek. Her hizmetin listesi ayrıdır; bağlanılan protokolün listesi düzeltilir.

Dokümantasyonda nasıl yapılır

• settings access · HTTPS
• settings access · Bilinmesi gerekenler
• Management Access · HTTPS Allowed Networks
• sys-cmd management-access · management-access restart

İlgili sorular

• Load Balancer yapılandırmasını CLI veya API ile yönetebilir miyim?
• CLI'de dizi / obje alanları (ör. listen) nasıl girilir?
• Yalnızca izleme yetkisi olan veya yalnızca belirli vService'leri yönetebilen kullanıcılar tanımlayabilir miyim?