SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

ASN'e göre engelleme yapabilir miyim? ​

Kısa cevap

Evet. Source IP koşulunda Source IP Type = ASN seçilir ve AS numarası aranabilir listeden seçilir; koşul HTTP vService'te Block, L7 TCP vService'te TCP Connection Management aksiyonuna bağlanır. Bir koşul tek ASN seçer; birden fazla ASN için koşullar aksiyonun Conditions alanında or ile birleştirilir. Büyük bulut ve barındırma sağlayıcılarının bütün ağlarını tek seçimle hedeflemek için Network Type Group koşulu kullanılır.

Sorun: Belirli Bir Ağdan Gelen Trafik İstenmiyor ​

Kötüye kullanım belirli bir servis sağlayıcının ya da bulut platformunun ağlarından geliyorsa tek tek IP adresleri yerine o ağın otonom sistem numarası (ASN) üzerinden engelleme yapmak daha kalıcı bir çözümdür: sağlayıcı yeni adres bloğu kullansa da ASN aynı kalır. TR7 bir adresin ASN'ini cihazdaki IP veritabanından bulur; bir adresin ASN'i IP Lookup ile görülebilir.

Çözüm: İki Yöntem ​

İki yöntem aynı kuralı kurar; biri seçilir. Bot/DDoS koruması açık vService'ler için tablonun son satırına bakılır.

DurumunuzUygun yöntem
Belirli bir ya da birkaç ASN'i engellemekYöntem 1: Source IP (ASN) koşulu + aksiyon
Komut satırındanYöntem 2: WEB-CLI
vService'te Bot/DDoS koruması açık; sağlayıcı ağlarına limit ya da engel koymak istiyorumNetwork Type Group Control → Tor çıkış düğümlerini, VPN/proxy adreslerini ve veri merkezi (bulut/hosting) IP'lerini nasıl tanır ve ayrı ele alırım?
  • Nasıl çalışır İstemci IP'sinin ait olduğu ASN koşuldaki numarayla eşleşirse istek Kurum Servisine gitmeden aksiyonla karşılanır.
  • Nerede açılırLoad Balancer → Conditions · Load Balancer → Actions · vService → Details → Actions
  • Gereksinim Kurum Servisi tarafında değişiklik yoktur
  • vService tipi HTTP · L7 TCP

Adım adım yapılandırma ​

1
Adım 1 Koşul formunu aç

Load Balancer → Conditions ekranında Add tıklanır (nasıl eklenir).

2
Adım 2 ASN'i seç

Condition Name girilir; Criteria = Source IP, Source IP Type = ASN seçilir. ASN alanı aranabilir bir listedir; seçenekler (numara) kuruluş biçimindedir ve numara ya da kuruluş adıyla aranır. Alan tek ASN alır ve varsayılan değeri 1'dir; hedef ASN mutlaka seçilir.

Sağlayıcının bütün ağları

Bir bulut ya da barındırma sağlayıcısının birden çok ASN'ini tek tek seçmek yerine Criteria = Network Type Group seçilip listeden bir ya da daha fazla sağlayıcı (ör. Amazon AWS, Hetzner) işaretlenir (bulut sağlayıcı senaryosu). Kalan adımlar aynıdır.

3
Adım 3 Koşulu kaydet

Add tıklanır. Birden fazla ASN için 1–3. adımlar her ASN için tekrarlanır (Add & Repeat formu açık tutar).

4
Adım 4 Aksiyon formunu aç

Load Balancer → Actions ekranında Add tıklanır (nasıl eklenir).

5
Adım 5 Aksiyonu ve koşulu seç

Action Name girilir. HTTP vService için Action Type = Block; Execution Level = On request, Deny Type = Standard, Status Code varsayılan 403. L7 TCP vService için Action type = TCP connection management ve Action = Reject ya da Silent drop. Conditions alanında ASN koşulları seçilir ve birden fazlaysa aynı grupta or ile birleştirilir. Etkiyi izlemek için Hit Counter açılabilir.

6
Adım 6 Aksiyonu kaydet

Add tıklanır; aksiyon listeye eklenir.

7
Adım 7 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

8
Adım 8 Aksiyonu vService'e ekle

Details altındaki Actions alanında aksiyon seçilir.

9
Adım 9 Kaydet

Save tıklanır; kural ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama ​

1ASNTR7 tarafı

Test edilecek adresin ASN'i Settings → General Settings → IP Intelligence & Reputation ekranındaki IP lookup sonuç kartında görülür.

BeklenenKoşuldaki ASN
2Engellemeİstemci tarafı

Bu ASN'e ait bir adresten istek gönderilir.

Komut: curl -sI https://www.example.com/

BeklenenHTTP/1.1 403 Forbidden
Hit counter açıksa vService Dashboard'unun Action Hits sekmesinde aksiyonun sayacı artar.

Yöntem 2: WEB-CLI ​

  • Nasıl çalışır Yöntem 1'deki koşul, aksiyon ve bağlama WEB-CLI komutlarıyla yapılır.
  • Nerede açılır WEB-CLI → lb condition · lb action · lb service
  • Gereksinim WEB-CLI erişimi
  • vService tipi HTTP (örnek Block aksiyonuyla)

Adım adım yapılandırma ​

1
Adım 1 Koşulu oluştur

ASN numarası AS öneki olmadan yazılır (koşul ölçütleri):

text
lb condition add criteria src_ip srcIpType asn asn 64500 --name asn-engel
2
Adım 2 Koşulun kimliğini al

--cond alanı koşulun adını değil kimliğini alır. Kimlik listeden okunur:

text
lb condition list
3
Adım 3 Block aksiyonunu oluştur

<koşul-kimliği> yerine 2. adımdaki kimlik yazılır; birden fazla ASN koşulu --cond '<kimlik-1> or <kimlik-2>' biçiminde birleştirilir:

text
lb action add type deny name asn-engeli --cond <koşul-kimliği>
4
Adım 4 vService'in mevcut aksiyonlarını gör
text
lb service show <vService>

Çıktıdaki rules.0, rules.1 … satırları vService'te tanımlı aksiyonlardır.

5
Adım 5 Aksiyonu ilk boş sıraya ekle

--rules.N o sıradaki mevcut aksiyonun yerine geçer; yeni aksiyon ilk boş sıraya yazılır. vService'te hiç aksiyon yoksa sıra 0'dır; iki aksiyon varsa --rules.2 kullanılır:

text
lb service update id <vService> --rules.0 asn-engeli

Doğrulama ​

1BağlamaTR7 tarafı

vService kaydı yeniden görüntülenir.

Komut: lb service show <vService>

Beklenenrules satırlarında asn-engeli

Sık Yapılan Hatalar ​

  • TR7 CDN ya da proxy arkasındayken Trusted proxy tanımlamamak. Koşul proxy'nin adresinin ASN'ini değerlendirir; HTTP vService'te önce Trusted Proxy ile gerçek istemci IP'si çözülür.
  • ASN alanının varsayılan değerini bırakmak. Alanın varsayılan değeri 1'dir; hedef ASN seçilmezse koşul yanlış ağa uygulanır.
  • Büyük sağlayıcıları tek ASN ile hedeflemek. Bulut sağlayıcılarının birden fazla ASN'i vardır; sağlayıcının tamamı için Network Type Group koşulu kullanılır.
  • Meşru kullanıcıları gözden kaçırmak. Kurumsal VPN çıkışları, izleme servisleri ve API istemcileri de veri merkezi ağlarından gelebilir; kuralın etkisi önce Hit Counter ile izlenir.
  • WEB-CLI'da --cond alanına koşul adını yazmak ya da --rules.0 ile mevcut aksiyonu ezmek. --cond koşulun kimliğini bekler; --rules.N için önce lb service show ile ilk boş sıra bulunur.

Dokümantasyonda nasıl yapılır

İlgili sorular