Belirli IP/CIDR'leri engelleyebilir veya yalnızca onlara izin verebilir miyim?

Kısa cevap

Evet. Source IP koşulunda Source IP Type = Manual seçilip IP ve CIDR'ler yazılır; engellemek için koşul HTTP vService'te Block, L7 TCP vService'te TCP Connection Management aksiyonuna bağlanır; yalnızca bu adreslere izin vermek için aynı koşulun olumsuz (NOT) hâli kullanılır. Uzun listeler tek bir Dynamic List koşulunda tutulur. Bütün vService'lere uygulanan kara liste için IP Intelligence & Reputation ekranındaki Blacklist Content, ağ katmanında ise Firewall kullanılır.

Sorun: Belirli Adresler Engellenmeli ya da Yalnızca Onlara İzin Verilmeli

Saldırı yapan adreslerin engellenmesi ya da bir iç uygulamanın yalnızca kurum ağlarından erişilebilmesi gerekebilir. Yalnızca belirli bir yola (ör. yönetim paneli) uygulanacak kısıt için: Admin paneline yalnızca belirli IP'lerden erişilmesini nasıl sağlarım?; iç ağı ayrı sunuculara yönlendirmek için: Yalnızca iç ağdan (belirli IP'lerden) gelen kullanıcıları test sunucusuna yönlendirebilir miyim?

Çözüm: Dört Yöntem

Yöntemler birbirinin alternatifidir; kapsamları farklıdır.

Durumunuz	Uygun yöntem
Kural tek bir vService'e (HTTP ya da L7 TCP) uygulanacak; engelleme ya da izin listesi	Yöntem 1: Source IP (Manual) koşulu + aksiyon
Adresler bütün vService'lerde engellensin	Yöntem 2: IP Intelligence & Reputation → Blacklist content
Ağ katmanında, belirli bir port için	Yöntem 3: Firewall (Manual)
Komut satırından	Yöntem 4: WEB-CLI

Yöntem 1: Source IP (Manual) Koşulu + Aksiyon Önerilen

• Nasıl çalışır Koşuldaki adreslerden gelen istekler Kurum Servisine gitmeden aksiyonla karşılanır; koşulun olumsuz hâli seçilirse listede olmayan herkes engellenir.
• Nerede açılırLoad Balancer → Conditions · Load Balancer → Actions · vService → Details → Actions
• Gereksinim Kurum Servisi tarafında değişiklik yoktur
• vService tipi HTTP · L7 TCP (Network vService'te Actions alanı yoktur)

Adım adım yapılandırma

1

Adım 1 Koşul formunu aç

Load Balancer → Conditions ekranında Add tıklanır (nasıl eklenir).

2

Adım 2 Adresleri yaz

Condition Name girilir; Criteria = Source IP, Source IP Type = Manual seçilir. Source IP alanına IPv4/IPv6 adresleri ve CIDR blokları boşluk ya da satır sonuyla ayrılarak yazılır (ör. 203.0.113.0/24); # ile başlayan satırlar yorumdur.

Uzun ya da sık değişen listeler

Criteria = Dynamic List seçilir; Key to search varsayılan Client IP address olarak bırakılır, Search method = IP/cidr match seçilir ve List alanına her satıra bir adres ya da blok yazılır. Condition protocol vService tipine göre (HTTP ya da TCP) seçilir. Kalan adımlar aynıdır.

3

Adım 3 Koşulu kaydet

Add tıklanır; koşul listeye eklenir.

4

Adım 4 Aksiyon formunu aç

Load Balancer → Actions ekranında Add tıklanır (nasıl eklenir).

5

Adım 5 Aksiyonu ve koşulu seç

Action Name girilir ve vService tipine göre Action Type seçilir:

vService	Action type	Ayar
HTTP	Block	Execution Level = On request, Deny Type = Standard, Status Code varsayılan 403
HTTP, engellenenlere sayfa gösterilecekse	Show Content	Content Page ve Status Code; Status code varsayılanı 200 olduğundan 403 seçilir
L7 TCP	TCP Connection Management	Action = Reject ya da Silent drop (TCP seviyesinde bağlantıyı reddetmek veya sessizce düşürmek mümkün mü (TCP Connection Management)?)

Conditions alanında engelleme için koşulun kendisi, izin listesi için olumsuz hâli (listede !KoşulAdı olarak görünür) seçilir (Bir koşulu olumsuz ("şu değilse") olarak kullanabilir miyim?). İsteğe bağlı olarak Hit Counter açılır.

6

Adım 6 Aksiyonu kaydet

Add tıklanır; aksiyon listeye eklenir.

7

Adım 7 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

8

Adım 8 Aksiyonu vService'e ekle

Details altındaki Actions alanında aksiyon seçilir. Aksiyonlar listedeki sırayla işlenir; isteği engelleyen aksiyondan sonrakiler çalışmaz (aksiyon sıralaması).

9

Adım 9 Kaydet

Save tıklanır; kural ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Engellemeİstemci tarafı

Listedeki bir adresten istek gönderilir (L7 TCP'de nc -v ile bağlanılır).

Komut: curl -sI https://www.example.com/

BeklenenHTTP/1.1 403 Forbidden

İzin listesi kurulduysa listedeki adres normal yanıtı, listede olmayan adres 403'ü alır.

2Action HitsTR7 tarafı

Hit counter açıksa vService Dashboard'unda Action Hits sekmesine bakılır.

BeklenenAksiyonun sayacı artar

Yöntem 2: IP Intelligence & Reputation → Blacklist content

• Nasıl çalışırBlacklist Content listesine eklenen adresler cihazın birleşik kara listesine User Blacklist kategorisiyle girer. Bu kategori IP Reputation Protection'ın varsayılan ilk kural satırındadır: L7 DDoS & Threat Protection açık vService'lerde bu adresler karantinaya alınır (kullanım yerleri).
• Nerede açılırSettings → General Settings → IP Intelligence & Reputation
• Gereksinim Listeyi uygulayan bir koruma: vService'te L7 DDoS & Threat Protection (IP Reputation Protection varsayılan olarak Active), ağ katmanında L4 DDoS Protection Blacklist ya da bir Blacklist IP Category koşulu
• vService tipi HTTP · L7 TCP

Adım adım yapılandırma

1

Adım 1 Ekranı aç

Settings → General Settings → IP Intelligence & Reputation ekranı açılır (nasıl düzenlenir).

2

Adım 2 Listeyi düzenle

Blacklist Content satırının solundaki Edit ikonu tıklanır; IP adresleri ya da CIDR blokları (IPv4 /8–/32, IPv6 /29–/128) satır satır yazılır, # ile başlayan satırlar yorumdur.

3

Adım 3 Kaydet

Liste kaydedilir. Geçersiz satırlar yok sayılır ve satır sayısını gösteren bir rozetle raporlanır.

4

Adım 4 Uygulayan korumayı aç (gerekiyorsa)

Liste tek başına engellemez. vService'te koruma kapalıysa vService'in düzenleme formunda Details altındaki L7 DDoS & Threat Protection kutusu işaretlenip Save tıklanır. Ayrıntı: Bilinen kötü IP'leri (IP Reputation / blacklist kategorisi) engelleyebilir miyim?

Tek bir adres

Tek bir adres, aynı ekranın IP Lookup sekmesindeki sonuç kartından Add to blacklist (IP intelligence) ile de eklenir.

Doğrulama

1Kara liste durumuTR7 tarafı

Adres IP lookup ile sorgulanır.

BeklenenKara listede · kaynak User

2Olay kaydıTR7 tarafı

Adresten istek geldikten sonra Bot/DDoS Event Logs ekranının IP Reputation sekmesine bakılır.

BeklenenAdres için IP Reputation kaydı

Yöntem 3: Network → Firewall (Manual)

• Nasıl çalışır Ağ katmanında belirli bir porta gelen trafik kaynak adrese göre düşürülür. Kullanıcı Firewall kuralları vService dinleme portları için otomatik üretilen izinlerden önce, liste sırasıyla değerlendirilir (kural değerlendirme sırası).
• Nerede açılırNetwork → Firewall → Add
• Gereksinim Firewall düzenleme yetkisi
• vService tipi HTTP · L7 TCP (vService'ten bağımsız, route table başına)

Adım adım yapılandırma

1

Adım 1 Kural formunu aç

Network → Firewall ekranında Add tıklanır (nasıl eklenir).

2

Adım 2 Kuralı tanımla

Route Table (vService'in route table'ı), Interface, Protocol = TCP ve Destination port = vService portu seçilir. Source = Manual seçilip adres ya da CIDR girilir ve Rule = DENY seçilir. "Yalnızca bu adresler" için alanın yanındaki anahtar is false yapılır (kural listede Unless … olarak görünür).

3

Adım 3 Kaydet

Kural kaydedilir ve hemen uygulanır; yeni kural listenin en altına eklenir, gerekiyorsa Order ile yukarı taşınır.

Yönetim erişimi

Kapsamı geniş tutulan bir DENY kuralı (ör. Protocol = All) yönetim trafiğini de düşürebilir; kural Destination port ile dar tutulur ve uygularken ikinci bir yönetim oturumu açık tutulur (iyi uygulamalar).

Doğrulama

1Bağlantıİstemci tarafı

Engellenen adresten vService portuna bağlanılır.

Komut: nc -vz -w 5 203.0.113.10 443

BeklenenBağlantı zaman aşımına uğrar

Yöntem 4: WEB-CLI

• Nasıl çalışır Yöntem 1'deki koşul, aksiyon ve bağlama WEB-CLI komutlarıyla yapılır.
• Nerede açılır WEB-CLI → lb condition · lb action · lb service
• Gereksinim WEB-CLI erişimi
• vService tipi HTTP (örnek Block aksiyonuyla)

Adım adım yapılandırma

1

Adım 1 Koşulu oluştur

Adresler tırnak içinde, boşlukla ayrılarak yazılır (koşul ölçütleri):

lb condition add criteria src_ip srcIpType manual src '203.0.113.0/24 198.51.100.7' --name kara-liste

2

Adım 2 Koşulun kimliğini al

--cond alanı koşulun adını değil kimliğini alır. Kimlik listeden okunur:

lb condition list

3

Adım 3 Block aksiyonunu oluştur

<koşul-kimliği> yerine 2. adımdaki kimlik yazılır; izin listesi için kimliğin önüne ! konur (--cond '!<koşul-kimliği>'):

lb action add type deny name ip-engeli --cond <koşul-kimliği>

4

Adım 4 vService'in mevcut aksiyonlarını gör

lb service show <vService>

Çıktıdaki rules.0, rules.1 … satırları vService'te tanımlı aksiyonlardır.

5

Adım 5 Aksiyonu ilk boş sıraya ekle

--rules.N o sıradaki mevcut aksiyonun yerine geçer; yeni aksiyon ilk boş sıraya yazılır. vService'te hiç aksiyon yoksa sıra 0'dır; iki aksiyon varsa --rules.2 kullanılır:

lb service update id <vService> --rules.0 ip-engeli

Doğrulama

1BağlamaTR7 tarafı

vService kaydı yeniden görüntülenir.

Komut: lb service show <vService>

Beklenenrules satırlarında ip-engeli

Listedeki adresten yapılan istek Yöntem 1'deki gibi 403 alır.

Sık Yapılan Hatalar

• TR7 CDN ya da proxy arkasındayken Trusted proxy tanımlamamak. Koşul proxy'nin adresini değerlendirir; HTTP vService'te önce Trusted Proxy ile gerçek istemci IP'si çözülür. Firewall kuralı ise her zaman bağlantının kaynak adresine bakar.
• İzin listesinde koşulun kendisini seçmek. Koşulun kendisi listedeki adresleri engeller; izin listesi için olumsuz hâli seçilir.
• İzinli adreslerin başka korumalarca engellenebileceğini unutmak. IP Reputation Protection açıksa izinli bir adres itibarı nedeniyle yine karantinaya alınabilir; bu adresler Whitelist Content listesine de eklenir. Whitelist her zaman önceliklidir.
• Koruma muafiyet listelerini izin listesi sanmak. L7 DDoS Protection ve IP Reputation Protection whitelist girdileri yalnızca o korumadan muafiyet verir; diğer adresleri engellemez.
• Adresleri denetlemeden kaydetmek. Manual alanı girilen adreslerin biçimini denetlemez; bütün satırlar boş ya da yorumsa koşul hiçbir adresle eşleşmez.
• WEB-CLI'da --cond alanına koşul adını yazmak ya da --rules.0 ile mevcut aksiyonu ezmek. --cond koşulun kimliğini bekler; --rules.N için önce lb service show ile ilk boş sıra bulunur.

Dokümantasyonda nasıl yapılır

• Source IP · Manual
• Dynamic List · Search Method
• IP Intelligence & Reputation · Blacklist Content
• Firewall · Manual
• WEB-CLI · lb action örnekleri

İlgili sorular

• Admin paneline yalnızca belirli IP'lerden erişilmesini nasıl sağlarım?
• Yalnızca iç ağdan (belirli IP'lerden) gelen kullanıcıları test sunucusuna yönlendirebilir miyim?
• Bilinen kötü IP'leri (IP Reputation / blacklist kategorisi) engelleyebilir miyim?
• L4 DDoS korumasından belirli IP'leri, ağları ya da ülkeleri nasıl muaf tutarım (Whitelist & Known Peers)?