Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?

Kısa cevap

Önce engeli hangi katmanın verdiği bulunur. HTTP vService'te Debug yalnızca kullanıcının adresiyle sınırlanarak açılır ve isteği vService'in Logs & Tracking sekmesindeki Debug Mode Logs kaynağında incelenir; Security Action sütunu ile önizlemedeki WAF ve Threat Protection kutuları kararı hangi modülün verdiğini gösterir. Bu alanlar boşken istek 403 gibi bir kodla döndüyse engel bir Load Balancer aksiyonundandır; Hit Counter ve Action Hits hangi aksiyonun çalıştığını gösterir. WAF ve Bot/DDoS false positive'leri kendi Event Logs ekranlarında (WAF · Bot/DDoS) okunur ve oradan giderilir; karantina ve AGS kilitleri kendi tablolarında görülür.

Sorun: Engeli Hangi Kuralın Verdiği Bilinmiyor

Bir kullanıcı 403 alıyor, sayfa açılmıyor ya da bağlantısı kesiliyor. Aynı vService'te Load Balancer aksiyonları, WAF, Bot/DDoS, karantina ve AGS birlikte çalışabildiğinden engeli hangi katmanın verdiği bulunmadan doğru düzeltme yapılamaz. Belirli bir engelin kaynağını adım adım bulma akışı için: Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?

Çözüm: Beş Yöntem

Yöntem 1 kararı veren katmanı gösterir; Yöntem 2–5 o katmanın kendi ekranında kaydı bulup düzeltir.

Durumunuz	Uygun yöntem
İlk adım: kararı hangi modülün verdiği bilinmiyor (HTTP vService)	Yöntem 1: Debug Mode Logs → Security Action
Engel bir Load Balancer aksiyonundan (Block, Show content, Quarantine…)	Yöntem 2: Hit Counter · Action Hits · Set Variable on Hit
Engel WAF'tan	Yöntem 3: WAF Event Logs → Allow / Teach
Engel Bot/DDoS'tan	Yöntem 4: Bot/DDoS Event Logs
Kullanıcı karantinada ya da AGS'de kilitli	Yöntem 5: Karantina tabloları · AGS Lockout

Yöntem 1: Debug Mode Logs → Security Action Önerilen

• Nasıl çalışır Debug kaydı isteğin ayrıntılarını ve güvenlik modüllerinin kararını tutar. Security Action sütunu isteği hangi modülün sonlandırdığını <modül> · <karar> biçiminde yazar (ör. Threat Protection · Blocked); yalnızca WAF ve Bot/DDoS kararlarını gösterir.
• Nerede açılır vService Edit → Details → Debug · vService → Logs & Tracking → Debug Mode Logs
• Gereksinim Yok
• vService tipi HTTP (Debug yalnızca HTTP vService'te vardır)

Adım adım yapılandırma

1

Adım 1 Koşul formunu aç (gerekiyorsa)

Kullanıcının adresi için henüz koşul yoksa Load Balancer → Conditions → Add ile koşul formu açılır.

2

Adım 2 Kullanıcının adresini tanımla

Criteria = Source IP, Source IP Type = Manual seçilip kullanıcının adresi girilir.

3

Adım 3 Koşulu kaydet

Koşul Add ile kaydedilir.

4

Adım 4 vService'i düzenle

Load Balancer → Load Balancer vService List ekranında HTTP vService seçilip Edit ile düzenleme formu açılır.

5

Adım 5 Debug'ı kullanıcıya daralt

Details altında Debug işaretlenir ve Select Conditions alanında 1–3. adımlardaki koşul seçilir (koşullu debug). Koşul seçilmezse bütün istekler kaydedilir.

6

Adım 6 Kaydet

Form Save ile kaydedilir; vService'in Status değeri Debug Mode olur. Kullanıcıdan isteği tekrarlaması istenir.

7

Adım 7 Debug kayıtlarını aç

Left Monitor Panel → Load Balancer vServices → vService → Logs & Tracking sekmesinde Debug Mode Logs kaynağı seçilir (listeleme ekranı).

8

Adım 8 Security Action sütununu aç

Columns ile varsayılan olarak gizli olan Security Action ve Termination State sütunları açılır.

9

Adım 9 Kaydı incele

Kullanıcının isteği seçilir; önizlemenin Summary sekmesinde WAF (Verdict, Attacks, Triggered rules), Threat Protection (Bot Score, Handled By, Action Taken, Monitor mode) ve Termination State okunur. Security Action boş, yanıt kodu 403 gibi bir hata koduysa Yöntem 2'ye geçilir.

10

Adım 10 vService'i yeniden düzenle

İnceleme bitince vService yeniden Edit ile açılır.

11

Adım 11 Debug'ı kapat

Details altındaki Debug işareti kaldırılır; açık kalan Debug disk ve işlemci kullanır.

12

Adım 12 Kaydet

Form Save ile kaydedilir.

Doğrulama

1KararTR7 tarafı

Kullanıcının kaydında Security Action sütunu ve Summary sekmesi okunur.

BeklenenWAF · … ya da Threat Protection · … ; boşsa Load Balancer aksiyonu

Yöntem 2: Load Balancer Aksiyonları → Hit Counter · Action Hits · Set Variable on Hit

• Nasıl çalışır Security Action sütunu Load Balancer aksiyonlarını göstermez. Hangi aksiyonun çalıştığı aksiyon sayaçlarından (Hit Counter → Action Hits) ve aksiyonun istek üzerinde bıraktığı trafik değişkeninden (Set Variable on Hit) bulunur.
• Nerede açılırLoad Balancer → Actions → aksiyon → Hit Counter / Set Variable on Hit · vService panosu → Action Hits
• Gereksinim Yok
• vService tipi HTTP · L7 TCP (Hit Counter Block, Show content ve Quarantine gibi aksiyonlarda bulunur; TCP Connection Management ve Advanced CAPTCHA aksiyonlarında yoktur)

Adım adım yapılandırma

1

Adım 1 Aksiyonu düzenle

Load Balancer → Actions ekranında şüpheli aksiyon seçilip Edit ile açılır.

2

Adım 2 Sayacı ve değişkeni aç

Hit Counter işaretlenir. İsteğin kendisinde hangi aksiyonun çalıştığını görmek için Set Variable on Hit alanına bir değişken adı (ör. blk_admin; harf, rakam ve alt çizgi, en fazla 32 karakter) yazılır; aksiyon çalıştığında bu değişken 1 olur.

3

Adım 3 Aksiyonu kaydet

Aksiyon kaydedilir.

4

Adım 4 vService'i düzenle (değişken debug kaydına yazılacaksa)

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit ile düzenleme formu açılır.

5

Adım 5 Değişkeni debug kaydına ekle

Details → Debug altındaki Custom Debug Log Entries anahtarı açılır, Entry name girilir ve Entry value olarak Traffic variable content değişkeni bu adla (%TR7VAR(blk_admin)) seçilir. Değer, debug kaydının Summary sekmesindeki Custom entries tablosunda görülür.

6

Adım 6 vService'i kaydet

Form Save ile kaydedilir.

7

Adım 7 Sayımları izle

vService panosunun Action Hits sekmesinde aksiyon başına çalışma sayısı izlenir (Bir action'ın kaç kez tetiklendiğini görebilir miyim (hit counter, Action Hits)?). Aksiyonlara farklı Status Code (ör. 403, 404, 429) verilirse HTTP Logs ekranında hangi aksiyonun yanıt verdiği koddan da anlaşılır.

Yeni bir engel kuralının kaç isteği etkileyeceği önceden ölçülmek istenirse aynı koşul önce Hit Counter açık bir Create Traffic Variable aksiyonuna bağlanır; Action Hits'te eşleşme sayısı izlendikten sonra Block'a geçilir. Block aksiyonunun izleme modu yoktur.

Doğrulama

1Action HitsTR7 tarafı

Kullanıcının istek zamanında Action Hits grafiğine bakılır.

BeklenenEngelleyen aksiyonun serisinde artış

Yöntem 3: WAF Event Logs → Allow / Teach

• Nasıl çalışır WAF olay kaydı eşleşen imzayı ya da yapısal ihlali ve kararın nedenini gösterir; false positive kayıttan kurala öğretilir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → Event Logs
• Gereksinim WAF lisansı; WAF etkin HTTP vService
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Event Logs'u aç

Left Monitor Panel → WAF-Protected vServices → vService → Event Logs açılır.

2

Adım 2 Kaydı bul ve oku

Kullanıcının adresi ya da istek kimliğiyle kayıt bulunur; Action değeri (ör. Attack blocked, Not blocked — Monitor mode) ve Attacks sekmesindeki açıklama okunur.

3

Adım 3 False positive'i öğret

Kayıt gerçekten false positive'se Allow / Teach ile kurala öğretilir. Güvenilir bir kaynak için Whitelist Condition kullanılabilir; tek bir imza sorunluysa vService'in OWASP rules ekranında durumu Monitor yapılır (State değerleri).

Doğrulama

1Tekrarİstemci tarafı

Kullanıcının isteği tekrarlanır.

Beklenenİstek geçer; Event Logs'ta yeni engel kaydı yok

Yöntem 4: Bot/DDoS Event Logs

• Nasıl çalışır Bot/DDoS olay kaydı kararı veren korumayı, kuralı, ölçülen değeri ve limiti gösterir; Monitor modundaki korumalar da uygulanacak aksiyonu kaydeder. Kayıt önizlemesinden adres, ağ, ASN, ülke, User-Agent ya da JA4 kimliği muafiyet listesine eklenir.
• Nerede açılır Left Monitor Panel → Bot/DDoS Protected vServices → vService → Event Logs
• Gereksinim Bot/DDoS protection lisansı; vService'te L7 DDoS & Threat Protection açık
• vService tipi HTTP · L7 TCP

Adım adım yapılandırma

1

Adım 1 Event Logs'u aç

Left Monitor Panel → Bot/DDoS Protected vServices → vService → Event Logs açılır.

2

Adım 2 Kaydı bul

Kullanıcının adresi aranır; ilk bakılacak yer IP Reputation sekmesidir, çünkü IP Reputation Protection koruma açıldığı anda Active çalışır. Önizlemedeki açıklama ölçülen değeri ve limiti birlikte yazar; muafiyet vermeden önce olayın gerçekten false positive olduğu buradan doğrulanır.

3

Adım 3 Muafiyet ekle

Önizleme menüsünden en dar kimlik (tercihen tek adres) muafiyet listesine eklenir. Ülke ya da ASN'yi muaf tutmak çok daha geniş bir kapı açar.

Doğrulama

1Tekrarİstemci tarafı

Kullanıcının isteği tekrarlanır.

Beklenenİstek geçer

Yöntem 5: Karantina Tabloları ve AGS Lockout

• Nasıl çalışır Eşiğe takılan istemciler Quarantine ve Advanced CAPTCHA karantina tablolarında, AGS'de kilitlenen kullanıcılar Lockout ekranında görülür ve oradan çıkarılır.
• Nerede açılır vService → Logs & Tracking · Left Monitor Panel → AGS-Enabled vServices → vService → Lockout
• Gereksinim Quarantine ya da Captcha quarantine kullanan vService; AGS için AGS lisansı
• vService tipi HTTP · L7 TCP (AGS yalnızca HTTP)

Adım adım yapılandırma

1

Adım 1 Karantina tablosuna bak

vService'in Logs & Tracking sekmesinde karantina kaynağı seçilir, kullanıcının adresi aranır ve gerekiyorsa Remove from Table ile çıkarılır; ayrıntı: Karantinadaki istemcileri nasıl görürüm?

2

Adım 2 AGS kilidine bak

AGS vService'inin Lockout ekranında kilitli kullanıcı aranır; Clear Lockouts ile kilit kaldırılır. Oturum açma adımları Audit Logs ekranında görülür.

Doğrulama

1TabloTR7 tarafı

Kullanıcının adresi ya da adı tabloda yeniden aranır.

BeklenenKayıt bulunmaz

Sık Yapılan Hatalar

• Debug'ı koşulsuz ve uzun süre açık bırakmak. Bütün trafik kaydedilir; disk ve işlemci gereksiz kullanılır.
• Security Action boş diye engel olmadığına karar vermek. Load Balancer aksiyonları bu sütunda görünmez; ayrıca güvenlik modülü olay üretmediyse sütun - kalır.
• WAF kayıtlarını toptan Allow etmek. Açıklama okunmadan öğretilen kayıt gerçek bir saldırıya da izin verebilir.
• TR7 bir CDN ya da proxy arkasındayken IP'ye göre karar vermek. Bütün kullanıcılar proxy adresiyle görünür ve birlikte engellenir; gerçek istemci adresi Trusted Proxy ile çözülür (TR7'nin önünde Cloudflare / Akamai gibi bir CDN var; gerçek istemci IP'sini nasıl alırım (Trusted Proxy)?).
• Cluster'da tabloları tek cihazda aramak. Karantina ve takip tabloları cihaz başına tutulur; kullanıcı diğer cihazın tablosunda olabilir.

Dokümantasyonda nasıl yapılır

• Debug Logs · Listeleme ekranı
• Debug Logs · Summary sekmesi
• WAF Event Logs · Allow / Teach
• Bot/DDoS Event Logs

İlgili sorular

• Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?
• Karantinadaki istemcileri nasıl görürüm?
• Bir action'ın kaç kez tetiklendiğini görebilir miyim (hit counter, Action Hits)?
• Debug Mode ne kaydeder; ne kadar süre açık tutmalıyım?