Rate limiting yapabilir miyim (IP başına saniyede X istek)?

Kısa cevap

Evet. En doğrudan yol Quarantine aksiyonudur: Tracking Key = IP, Tracking Time = 1 saniye ve Quarantine Condition = HTTP requests > X seçilir; eşiği aşan IP Quarantine Time boyunca (varsayılan 10 dakika) Quarantine Action ile karşılanır. Engelin yalnızca eşik aşıldığı sürece sürmesi isteniyorsa Advanced Traffic Inspection, Tracking Condition ve Block birlikte kullanılır. Bot/DDoS koruması açıksa L7 DDoS Protection → Source IP Request Protection, AGS açıksa Bot Protection Policies (Trigger Type = Requests) aynı işi görür.

Sorun: Tek Bir İstemci Aşırı İstek Gönderiyor

Kaba kuvvet denemeleri, içerik toplama yazılımları (scraper) ya da hatalı istemciler kısa sürede çok sayıda istek göndererek sunucuları yorar. Her istemcinin belirli bir süre içinde gönderebileceği istek sayısının sınırlanması istenir. TR7'de sınır, seçilen pencere içindeki istek sayısıyla tanımlanır: "saniyede X istek" için pencere 1 saniye yapılır.

Çözüm: Beş Yöntem

Yöntemler birbirinin alternatifidir; aynı trafiğe birden fazlasının uygulanması gerekmez.

Durumunuz	Uygun yöntem
Eşiği aşan istemci belirli bir süre engellensin (HTTP ya da L7 TCP)	Yöntem 1: Quarantine
Engel yalnızca eşik aşıldığı sürece sürsün	Yöntem 2: Advanced Traffic Inspection + Tracking Condition + Block
HTTP vService'te Bot/DDoS koruması açık	Yöntem 3: L7 DDoS Protection → Source IP Request Protection
vService'te AGS açık	Yöntem 4: AGS → Bot Protection Policies (Requests)
Source IP Request Protection'ı komut satırından ayarlamak	Yöntem 5: WEB-CLI

Yöntem 1: Quarantine Önerilen

• Nasıl çalışır İstemcinin istekleri Tracking Time penceresinde sayılır; Quarantine Condition sağlanınca istemci karantina tablosuna yazılır ve Quarantine Time boyunca Quarantine Action uygulanır (nasıl çalışır). Ayrıntı: Quarantine Action nasıl çalışır; eşiği aşan istemci ne kadar süre engellenir?
• Nerede açılırLoad Balancer → Actions → Quarantine · vService → Details → Actions
• Gereksinim Kurum Servisi tarafında değişiklik yoktur
• vService tipi HTTP · L7 TCP

Adım adım yapılandırma

1

Adım 1 Aksiyon formunu aç

Load Balancer → Actions ekranında Add tıklanır (nasıl eklenir).

2

Adım 2 Takibi tanımla

Action Name girilir; Action Type = Quarantine, Execution Level = On Request seçilir. Tracking Key = IP (varsayılan) bırakılır; Tracking Time 1 saniye yapılır (varsayılan 10 dakika; aralık 1 saniye – 360 saat). L7 TCP vService için Details altındaki Rule protocol = TCP seçilir; bu durumda anahtar yalnızca IP ya da Manual olabilir.

3

Adım 3 Eşik koşulunu oluştur

Quarantine Condition alanının yanındaki + tıklanır; açılan koşul formunda Criteria = Quarantine condition, Tracking Criteria = HTTP requests ve Tracking Operator ile eşik (ör. > 20) girilip Add tıklanır. L7 TCP'de HTTP'ye özgü kriterler yerine bağlantı ve veri kriterleri kullanılır.

4

Adım 4 Karantinayı tanımla

Quarantine Time (varsayılan 10 dakika) ve Quarantine Action (varsayılan Silent Drop; HTTP'de Redirect ya da Show content de seçilebilir) belirlenir. Takibin yalnızca belirli yollarda (ör. /login) yapılması için Conditions alanında koşul seçilir; boş bırakılırsa bütün trafik takip edilir.

5

Adım 5 Aksiyonu kaydet

Add tıklanır; aksiyon listeye eklenir.

6

Adım 6 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

7

Adım 7 Aksiyonu vService'e ekle

Details altındaki Actions alanında aksiyon seçilir (HTTP, L7 TCP).

8

Adım 8 Kaydet

Save tıklanır; kural ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir. Karantina kayıtları ise her cihazda ayrı tutulur.

Doğrulama

1Karantina tablosuTR7 tarafı

vService'in Logs & Tracking sekmesinde Logs Type listesinden aksiyon adı (QUARANTINE, süre) tablosu seçilir (karantina logları).

BeklenenEşiği aşan istemci listelenir

2Sınırİstemci tarafı

Aynı istemciden bir saniyede eşiğin üzerinde istek gönderilir.

Komut: for i in $(seq 1 50); do curl -s -o /dev/null -w '%{http_code}\n' --max-time 3 https://www.example.com/; done

Beklenenİlk istekler 200, sonra 000 (Silent Drop)

Yöntem 2: Advanced Traffic Inspection + Tracking Condition + Block

• Nasıl çalışırAdvanced Traffic Inspection istemci başına sayaç tutar; Tracking Condition sayacı eşikle karşılaştırır ve Block eşiği aşan isteği engeller. Sayaç eşiğin altına inince engel kendiliğinden kalkar.
• Nerede açılırLoad Balancer → Actions · Load Balancer → Conditions
• Gereksinim Kurum Servisi tarafında değişiklik yoktur
• vService tipi HTTP (L7 TCP'de Block yerine TCP Connection Management kullanılır)

Adım adım yapılandırma

1

Adım 1 Sayaç aksiyonunun formunu aç

Load Balancer → Actions ekranında Add tıklanır.

2

Adım 2 Sayacı tanımla

Action Name girilir; Action Type = Advanced Traffic Inspection seçilir. Fields to Track = Client IP Address, Traffic Tag (3–20 karakter; harf, rakam, -, _; ör. ip-hiz) ve Tracking Period = 1 saniye girilir.

3

Adım 3 Sayaç aksiyonunu kaydet

Add tıklanır.

4

Adım 4 Koşul formunu aç

Load Balancer → Conditions ekranında Add tıklanır (nasıl eklenir).

5

Adım 5 Eşiği tanımla

Criteria = Tracking Condition; Tracked Table = 2. adımdaki Traffic tag, Tracking Criteria = HTTP requests ve Tracking Operator ile eşik (ör. > 20) girilir.

6

Adım 6 Koşulu kaydet

Add tıklanır.

7

Adım 7 Block aksiyonunu tanımla

Load Balancer → Actions → Add; Action Name girilir, Action Type = Block, Execution Level = On Request, Deny Type = Standard ve Status Code = 429 seçilir; Conditions alanında 6. adımdaki koşul seçilir.

8

Adım 8 Block aksiyonunu kaydet

Add tıklanır.

9

Adım 9 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

10

Adım 10 İki aksiyonu sırayla ekle

Details altındaki Actions alanında önce Advanced Traffic Inspection, sonra Block aksiyonu seçilir; aksiyonlar listedeki sırayla işlenir.

11

Adım 11 Kaydet

Save tıklanır.

Doğrulama

1Takip tablosuTR7 tarafı

Logs & Tracking sekmesinde Logs Type listesinden aksiyon adı (TRACKING, 1s) tablosu seçilir (takip logları).

Beklenenİstemci başına HTTP request sayaçları

2Sınırİstemci tarafı

Aynı istemciden bir saniyede eşiğin üzerinde istek gönderilir.

Komut: for i in $(seq 1 50); do curl -s -o /dev/null -w '%{http_code}\n' https://www.example.com/; done

BeklenenEşik aşılınca 429; bir saniye sonra yeniden 200

Yöntem 3: L7 DDoS Protection → Source IP Request Protection

• Nasıl çalışırSource IP Request Protection, tek bir kaynak adresin Time Window içindeki istek sayısı Request Limit'i aşınca Limit Action uygular; her adres kendi sayacını taşır. İsteğe bağlı Hard Ceiling (Quarantine) ikinci bir kademe ekler.
• Nerede açılır Left Monitor Panel → Bot/DDoS Protected vServices → vService → Bot/DDoS Management → L7 DDoS Protection → Source IP Request Protection
• Gereksinim Bot/DDoS lisansı; vService'te L7 DDoS & Threat Protection açık; engelleme için L7 DDoS Protection Active
• vService tipi HTTP (L7 TCP vService'te istek sayımı yapılmaz)

Adım adım yapılandırma

1

Adım 1 Bot/DDoS korumasını aç (gerekiyorsa)

vService'in düzenleme formunda Details altındaki L7 DDoS & Threat Protection kutusu işaretlenip Save tıklanır (iki yol). Koruma açıldığında L7 DDoS Protection Monitor, IP Reputation Protection Active modunda başlar (başlangıç modları).

2

Adım 2 L7 DDoS Protection düzenleme penceresini aç

Left Monitor Panel → Bot/DDoS Protected vServices → vService → Bot/DDoS Management sekmesinde L7 DDoS Protection kartının Edit bağlantısı tıklanır.

3

Adım 3 Korumayı Active yap ve kaydet

DDoS Protection = Active seçilip Edit tıklanır. Monitor modunda sınır aşımı yalnızca olay olarak kaydedilir.

4

Adım 4 Source IP Request Protection penceresini aç

L7 DDoS Protection kartındaki Source IP Request Protection bloğunun kalem ikonu tıklanır (Edit ekranı).

5

Adım 5 Sınırı ayarla

Time Window = 1 seconds (varsayılan 10 seconds), Request Limit = X (varsayılan 1000) ve Limit Action (varsayılan Show captcha; ör. Block) seçilir. Formun altındaki cümle kartta görünecek ayarı gösterir.

6

Adım 6 Kaydet

Edit tıklanır; ayrı bir dağıtım adımı olmadan uygulanır.

Doğrulama

1Olay kaydıTR7 tarafı

Bot/DDoS Event Logs ekranında kayıt seçilir; önizlemenin L7 DDoS sekmesine bakılır.

BeklenenSource IP Request Protection kaydı, ölçülen değer ve limit

Yöntem 4: AGS → Bot Protection Policies (Requests)

• Nasıl çalışırBot Protection Policies politikası kapsamdaki istemcinin istek sayısını Trigger Window Duration içinde sayar; Request Threshold aşılınca aksiyon uygulanır.
• Nerede açılırAGS → Protection Policies → Bot Protection Policies · vService → AGS Management → Protection
• Gereksinim AGS lisansı; vService'te AGS açık
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 AGS'yi etkinleştir (gerekiyorsa)

AGS vService'te açık değilse açılır (iki yol); ayrıntı: WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?

2

Adım 2 Politika formunu aç

AGS → Protection Policies → Bot Protection Policies ekranında Add tıklanır (nasıl eklenir).

3

Adım 3 Politikayı tanımla

Trigger Type = Requests; Request Threshold, Trigger Window Duration, Policy Scope = IP Address ve Action girilir. Hazır profiller de seçilebilir (hazır profiller).

4

Adım 4 Politikayı kaydet

Add tıklanır.

5

Adım 5 Politikayı vService'e ata

vService'in AGS Management sekmesinde Protection bölümünün Edit bağlantısı tıklanır; Bot Protection Policies alanında politika seçilir.

6

Adım 6 Kaydet

Edit / Protection penceresinde Accept tıklanır.

Doğrulama

1Bot Protection sekmesiTR7 tarafı

AGS vService'inin Bot Protection sekmesinde politika seçilir.

BeklenenEşiği aşan istemciler

Yöntem 5: WEB-CLI

• Nasıl çalışır Yöntem 3'teki Source IP Request Protection ayarları lb threat-protection update komutuyla yazılır (kaynak adres başına istek sayısı).
• Nerede açılırWEB-CLI → lb threat-protection
• Gereksinim WEB-CLI erişimi; Bot/DDoS lisansı; vService'te L7 DDoS & Threat Protection açık
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Korumayı aç (gerekiyorsa)

lb service update id <vService> --threatProtection true

2

Adım 2 Sınırı yaz

Koruma kaydının kimliği vService'tir; id alanında Tab ile listelenir. --ddosProtection true L7 DDoS Protection'ı Active yapar (Monitor için monitor). Örnek: kaynak adres başına saniyede 20 istek, aşımda 429 ile engelleme:

lb threat-protection update id <vService> --ddosProtection true --ddosSrcIpRequestProtection true --ddosSrcIpRequestWindow.val 1 --ddosSrcIpRequestWindow.unit s --ddosSrcIpRequestLimit 20 --ddosSrcIpRequestAction block --ddosSrcIpRequestBlockStatusCode 429

Doğrulama

1KayıtTR7 tarafı

Koruma kaydı görüntülenir.

Komut: lb threat-protection show <vService>

BeklenenddosSrcIpRequestLimit 20 · ddosSrcIpRequestAction block

Arayüzde aynı ayar L7 DDoS Protection kartındaki Source IP Request Protection cümlesinde görünür.

Sık Yapılan Hatalar

• Pencereyi uzun tutup "saniyede X" sanmak. Eşik pencere başınadır: Quarantine'da Tracking Time, Advanced Traffic Inspection'da Tracking Period, Source IP Request Protection'da Time Window 1 saniye yapılır.
• Advanced traffic inspection'ı Block'tan sonra sıralamak. Sayaç aksiyonu vService'in Actions listesinde Block'tan önce olmalıdır.
• NAT ya da proxy arkasındaki kullanıcıları unutmak. Aynı IP'yi paylaşan kullanıcılar tek sayaçta toplanır; TR7 bir CDN ya da proxy arkasındaysa HTTP vService'te önce Trusted Proxy ile gerçek istemci IP'si çözülür.
• Bot/DDoS'u Monitor modunda bırakmak. Monitor modunda sınır aşımı yalnızca olay olarak kaydedilir; engelleme için DDoS Protection = Active yapılır.
• IP dışındaki bir anahtara göre sınırı IP ile kurmak. API anahtarı ya da token başına sınır için: API key / token gibi bir anahtara göre rate limit uygulayabilir miyim?

Dokümantasyonda nasıl yapılır

• Quarantine · Tracking Time
• Quarantine Condition · Tracking Criteria
• Advanced Traffic Inspection · Tracking Period
• Source IP Request Protection · Request Limit
• WEB-CLI · lb threat-protection

İlgili sorular

• Quarantine Action nasıl çalışır; eşiği aşan istemci ne kadar süre engellenir?
• API key / token gibi bir anahtara göre rate limit uygulayabilir miyim?
• Anlık istek / bağlantı sayısı artışında otomatik aksiyon alabilir miyim?