Bilinen kötü IP'leri (IP Reputation / blacklist kategorisi) engelleyebilir miyim?

Kısa cevap

Evet. TR7'nin IP itibar veritabanı adresleri tehdit kategorilerine ayırır; veritabanı IP Intelligence & Reputation ekranında güncellenir. vService'te L7 DDoS & Threat Protection açıldığında IP Reputation Protection varsayılan olarak Active gelir ve kategorilere göre karantinaya alır ya da engeller. Load Balancer kuralıyla daha dar bir engel için Blacklist IP Category koşulu Block aksiyonuyla kullanılır. Aynı liste WAF'ta Blacklist Protection ile, ağ katmanında ise route table başına L4 DDoS Protection → Blacklist kuralıyla uygulanır; bu kural varsayılan olarak yalnızca izler (Monitor), engellemek için Block yapılır.

Sorun: Bilinen Saldırgan Adresleri Uygulamaya Ulaşıyor

Saldırı, dolandırıcılık, spam ya da tarama geçmişi olan adresler uygulamaya erişmeye devam ediyorsa bu adreslerin güncel bir itibar listesine göre otomatik olarak engellenmesi istenir. Liste cihaz genelinde tektir: TR7 itibar veritabanı, tanımlı harici kaynaklar ve elle eklenen Blacklist Content birleştirilir, Whitelist Content çıkarılır (nasıl çalışır). Korumalar bu listeyi farklı katmanlarda uygular.

Çözüm: Dört Yöntem

Yöntemler aynı listeyi farklı katmanlarda uygular; birlikte de kullanılabilir. Hepsi için veritabanı güncel tutulur (Yöntem 1, 1. adım).

Durumunuz	Uygun yöntem
vService'te kategori bazlı, otomatik koruma	Yöntem 1: IP Reputation Protection
Bot/DDoS lisansı yok ya da belirli bir kategoriye Load Balancer kuralı	Yöntem 2: Blacklist IP Category koşulu + aksiyon
WAF modülü açık HTTP vService	Yöntem 3: WAF → Blacklist protection
Ağ katmanında, route table'daki bütün trafik için (vService tipinden bağımsız)	Yöntem 4: L4 DDoS Protection → Blacklist

Yöntem 1: IP Reputation Protection Önerilen

• Nasıl çalışırIP Reputation Protection kara listedeki bir adresten gelen isteği kural satırlarıyla karşılar; satırlar yukarıdan aşağı değerlendirilir, eşleşen ilk satır kararı verir. Varsayılan ilk satır kritik kategorileri (DDoS Attack, Open Proxy, Hacking, SQL Injection, Brute-Force, Web App Attack, Exploited Host, Bad Web Bot, User blacklist) karantinaya alır; ikinci satır VPN IP dışındaki kalan kategorileri engeller (L7 TCP'de sessizce düşürür).
• Nerede açılır Left Monitor Panel → Bot/DDoS Protected vServices → vService → Bot/DDoS Management → IP Reputation Protection
• Gereksinim Bot/DDoS lisansı; vService'te L7 DDoS & Threat Protection açık; güncel itibar verisi
• vService tipi HTTP · L7 TCP

Adım adım yapılandırma

1

Adım 1 İtibar veritabanını güncel tut

Settings → General Settings → IP Intelligence & Reputation ekranında Edit tıklanır; Online update period (varsayılan Off) Daily, Weekly ya da Monthly yapılıp Save tıklanır. Hemen güncellemek için Update Online kullanılır. Cluster kurulumunda zamanlanmış güncelleme yalnızca 1. cihazda çalışır ve güncel veritabanı eş cihaza otomatik aktarılır.

2

Adım 2 Bot/DDoS korumasını aç (gerekiyorsa)

vService'in düzenleme formunda Details altındaki L7 DDoS & Threat Protection kutusu işaretlenip Save tıklanır (iki yol). IP Reputation Protection bu anda Active modunda başlar ve varsayılan satırlar uygulanır (başlangıç modları).

3

Adım 3 Düzenleme penceresini aç (kuralları değiştirmek için)

Left Monitor Panel → Bot/DDoS Protected vServices → vService → Bot/DDoS Management sekmesinde IP Reputation Protection kartının Edit bağlantısı tıklanır.

4

Adım 4 Kural satırını ekle ya da değiştir

IP Reputation Actions listesinde + Add ile satır eklenir ya da mevcut satır düzenlenir; Categories ve Action (ör. Block, Show captcha, Quarantine) seçilir. Varsayılan satırlarda bulunmayan VPN IP kategorisi gerekiyorsa ayrı bir satırla eklenir.

5

Adım 5 Kaydet

Edit tıklanır; ayrı bir dağıtım adımı olmadan uygulanır.

Doğrulama

1Olay kaydıTR7 tarafı

Bot/DDoS Event Logs ekranının IP Reputation sekmesine bakılır.

BeklenenAdres, kategorisi ve uygulanan aksiyon

2Adresin durumuTR7 tarafı

Adres IP lookup ile sorgulanır; sonuç trafiğe uygulanan kararla aynıdır.

BeklenenKara listede · tehdit kategorileri

Yöntem 2: Blacklist IP Category Koşulu + Aksiyon

• Nasıl çalışır İstemci IP'si seçilen itibar kategorisindeyse Load Balancer aksiyonu uygulanır; istek Kurum Servisine gitmez.
• Nerede açılırLoad Balancer → Conditions · Load Balancer → Actions · vService → Details → Actions
• Gereksinim Güncel itibar verisi
• vService tipi HTTP · L7 TCP

Adım adım yapılandırma

1

Adım 1 Koşul formunu aç

Load Balancer → Conditions ekranında Add tıklanır (nasıl eklenir).

2

Adım 2 Kategoriyi seç

Condition Name girilir; Criteria = Blacklist IP Category seçilir ve Blacklist IP Category alanında tek kategori seçilir (kategoriler).

Kategori ayrımı gerekmiyorsa

Kara listedeki her adres için koşul oluşturmak gerekmez: aksiyonun Conditions listesindeki hazır If the source IP is blacklisted koşulu seçilir ve 4. adıma geçilir.

3

Adım 3 Koşulu kaydet

Add tıklanır. Birden fazla kategori için 1–3. adımlar tekrarlanır (Add & Repeat formu açık tutar).

4

Adım 4 Aksiyon formunu aç

Load Balancer → Actions ekranında Add tıklanır (nasıl eklenir).

5

Adım 5 Aksiyonu ve koşulu seç

Action Name girilir. HTTP vService için Action Type = Block; Execution Level = On request, Deny Type = Standard, Status Code varsayılan 403. L7 TCP vService için Action type = TCP Connection Management, Action = Reject ya da Silent drop. Conditions alanında kategori koşulları seçilir ve or ile birleştirilir.

6

Adım 6 Aksiyonu kaydet

Add tıklanır; aksiyon listeye eklenir.

7

Adım 7 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

8

Adım 8 Aksiyonu vService'e ekle

Details altındaki Actions alanında aksiyon seçilir.

9

Adım 9 Kaydet

Save tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Engellemeİstemci tarafı

Seçilen kategorideki bir adresten (IP lookup ile kategori görülür) istek gönderilir.

Komut: curl -sI https://www.example.com/

BeklenenHTTP/1.1 403 Forbidden

Aksiyonda Hit counter açıksa vService Dashboard'unun Action Hits sekmesinde sayaç artar.

Yöntem 3: WAF → Blacklist protection

• Nasıl çalışır WAF açık HTTP vService'te kaynak IP'si kara listedeki adreslerden gelen istekler engellenir. Kara liste eşleşmesi koruma düzeyinden bağımsız olarak tek başına engelleme eşiğini aşar. Blacklist protection varsayılan olarak işaretlidir; Blacklist IP Category ile kategoriler daraltılabilir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Whitelist & Blacklist
• Gereksinim WAF lisansı; vService'te WAF açık; engelleme için WAF Blocking modunda
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Düzenleme ekranını aç

WAF Management sekmesinde Inspection & Blocking bölümündeki Whitelist & Blacklist kartının sağ üstündeki kalem ikonu tıklanır (Edit ekranı).

2

Adım 2 Kara liste korumasını ayarla

Blacklist Protection işaretli bırakılır (varsayılan). Blacklist IP Category anahtarı All konumunda bütün kategorileri kullanır; Filter konumunda kategoriler çoklu seçimle daraltılır (en az bir kategori).

3

Adım 3 Kaydet

Edit tıklanır; ayrı bir dağıtım adımı yoktur. Engelleme yalnızca Blocking modunda yapılır; Monitor ve Learning modunda istek geçirilir, saldırı kaydı düşer (WAF Mode).

Doğrulama

1Olay kaydıTR7 tarafı

WAF Event Logs ekranında kara listedeki adrese ait kayda bakılır.

BeklenenBlacklisted IP ihlali · Attack blocked

Yöntem 4: L4 DDoS Protection → Blacklist

• Nasıl çalışırL4 DDoS Protection'ın Blacklist kuralı, kara listedeki kaynakların paketlerini bir istek oluşmadan, ilk pakette düşürür. Kural route table başınadır ve o route table'a gelen bütün trafiği (HTTP, L7 TCP ve Network vService'ler, cihaz üzerinden geçen trafik) kapsar. Kategori ayrımı yapmaz; listenin tamamını uygular. Eşik yoktur: karar kaynağın listede olup olmamasına bağlıdır.
• Nerede açılır Left Monitor Panel → Route Tables & L4 DDoS → route table → L4 DDoS Management → Blacklist
• Gereksinim Network düzenleme yetkisi; güncel itibar verisi
• vService tipi Bağımsız (route table'daki bütün trafik)

Adım adım yapılandırma

1

Adım 1 L4 DDoS Management ekranını aç

Left Monitor Panel'de Route Tables & L4 DDoS sekmesi seçilir, vService'in route table'ı tıklanır ve L4 DDoS Management sekmesi açılır.

2

Adım 2 Kuralın şu anki modunu oku

L4 DDoS Protection Mode kartındaki ilk kutu Blacklist kutusudur. Varsayılan modda cümle A source on the IP-reputation blacklist is only monitored (amber nokta) yazar: kaynaklar sayılır ama trafik geçer.

3

Adım 3 Kural penceresini aç

Cümlenin sağındaki kalem ikonu tıklanır; Rule Settings · IP Blacklist penceresi açılır.

4

Adım 4 Modu Block yap

Status = Block seçilir. Seçenekler Disabled, Monitor (varsayılan) ve Block'tur; bu kuralda Quarantine yoktur. Öğrenme motorunun modu değiştirmesi istenmiyorsa Learning Lock açılır.

5

Adım 5 Kaydet

Save tıklanır; kural anında yürürlüğe girer. Kutudaki cümle A source on the IP-reputation blacklist is blocked (yeşil nokta) olur. Diğer route table'lar kendi modlarını korur; gerekiyorsa her biri için tekrarlanır.

Block modunun etkisi

Block modunda kara listeye giren bir kaynağın kurulu bağlantıları da kesilir. Listede kalması gereken ama geçmesi istenen bir adres Whitelist & Known Peers listesine IP ya da ağ girdisi olarak eklenir (ülke girdisi bu kuralda geçerli değildir) ya da IP Intelligence & Reputation Whitelist Content listesine alınır; ikincisi adresi hem L4 hem L7 korumalarında serbest bırakır (muafiyet listesiyle ilişkisi).

Doğrulama

1Eşleşen paketlerTR7 tarafı

Route table'ın Dashboard ekranında Suspicious Packets sekmesindeki Blacklist paneline bakılır; Block modunda düşürülen paketler Dropped Traffic sekmesine de girer.

BeklenenKırmızı dolgulu seri

Panel muaf kaynakların paketlerini de sayar; panelde değer görünmesi her zaman paket düşürüldüğü anlamına gelmez. Monitor modunda seri amber dolgulu görünür ve Dropped Traffic'te veri oluşmaz.

Sık Yapılan Hatalar

• İtibar verisini güncel tutmamak. Online Update Period varsayılan olarak Off'tur; periyot seçilmezse yeni tehdit adresleri tanınmaz.
• Korumayı açınca etkisini beklememek. IP Reputation Protection Active modunda başlar; açıldığı anda bazı istekler engellenebilir, Event Logs izlenir.
• L4 DDoS Blacklist'in varsayılan olarak engellediğini sanmak. Kural her route table'da Monitor modunda doğar; engellemek için Status = Block yapılır.
• L4 DDoS Blacklist'te kategori seçmeye çalışmak. Kategori ayrımı yalnızca L7 korumalarında (IP Reputation Protection, Blacklist IP Category koşulu, WAF) vardır; L4 kuralı listenin tamamını uygular.
• Meşru bir adres engellendiğinde korumayı kapatmak. Adres Whitelist Content listesine eklenir; whitelist her katmanda önceliklidir. Teşhis için: Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?
• VPN IP kategorisinin varsayılan olarak engellendiğini sanmak. VPN IP, IP Reputation Protection'ın varsayılan satırlarında yoktur; gerekiyorsa ayrı bir satırla eklenir.

Dokümantasyonda nasıl yapılır

• IP Reputation Protection · Varsayılan kurallar
• Blacklist IP Category · Desteklenen kategoriler
• L4 DDoS Protection · Blacklist
• IP Intelligence & Reputation · Nerelerde kullanılır

İlgili sorular

• Belirli IP/CIDR'leri engelleyebilir veya yalnızca onlara izin verebilir miyim?
• Tor çıkış düğümlerini, VPN/proxy adreslerini ve veri merkezi (bulut/hosting) IP'lerini nasıl tanır ve ayrı ele alırım?
• Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?