Termination, passthrough ve bridging arasında nasıl seçim yaparım?

Kısa cevap

Seçimi iki soru belirler: TR7 trafiğin içeriğini görmeli mi ve TR7 ile sunucular arasındaki bağlantı şifreli olmalı mı? İçerik görünürlüğü gerekiyor ve TR7 ile sunucular arasındaki ağ güvenliyse termination; görünürlükle birlikte sunucuya kadar şifreleme de gerekiyorsa Kurum Servisinde SSL Service açılarak bridging; özel anahtar TR7'ye konamıyorsa, istemci sertifikasını uygulama doğrulayacaksa ya da içeriğe bakmak gerekmiyorsa L7 TCP vService'te Protocol = TCP ile passthrough seçilir. WAF, HTTP başlık aksiyonları ve HSTS yalnızca HTTP vService'te, termination ya da bridging ile kullanılır.

Karşılaştırma

	Termination (offloading)	Bridging	Passthrough
İstemci ↔ TR7	Şifreli	Şifreli	Şifreli
TR7 ↔ Kurum Servisi	Şifresiz	Şifreli (TR7'nin kurduğu TLS)	Şifreli (istemcinin TLS'i)
TR7 içeriği görür mü	Evet	Evet	Hayır
Sertifika nerede	TR7	TR7 ve sunucu	Yalnızca sunucu
vService ayarı	HTTP: Protocol = Encrypted (HTTPS) grubu; L7 TCP: TCP + TLS; ikisinde de Certificate	Termination ile aynı	L7 TCP: Protocol = TCP; sertifika seçilmez
Kurum Servisi ayarı	SSL Service kapalı	SSL Service açık; adres sunucunun TLS portu	SSL Service kapalı; adres sunucunun TLS portu
WAF, HTTP koşulları ve aksiyonları	HTTP vService'te evet	HTTP vService'te evet	Hayır
TLS sürümü ve cipher kuralları	vService'teki SSL Security profili	vService profili + Kurum Servisinde Backend SSL Security Profile	Sunucuda belirlenir
Alan adına göre ayrım	HTTP: Virtual Hosting ve SNI'ye göre sertifika seçimi ; L7 TCP (TCP + TLS): Dynamic Condition ile SNI Received from Client	Termination ile aynı	SSL SNI Info koşulu
Sunucunun TLS yükü	Yok	Var	Var

Karar Kuralı

1. WAF, içerik koşulları, Cache ya da başlık aksiyonları gerekiyor mu? Evet → termination ya da bridging, HTTP vService ile. Hayır ve trafik HTTP değil → L7 TCP ile termination ya da passthrough.
2. TR7 ile sunucular arasındaki ağ güvenilir mi? Hayır ya da mevzuat sunucuya kadar şifreleme istiyor → bridging; evet → termination.
3. Özel anahtar TR7'ye konamıyor ya da uygulama istemci sertifikasını kendisi doğrulamalı mı? Evet → passthrough. İstemci sertifikasını TR7'nin doğrulaması yeterliyse termination ile mTLS de kullanılabilir (İstemci sertifikasıyla kimlik doğrulama (mTLS) yapabilir miyim?).

Sık Karıştırılan Noktalar

• "Passthrough daha güvenlidir." Trafik şifreli kalır, ancak TR7 içeriği göremediği için WAF ve içerik denetimi uygulanmaz. Hem şifreleme hem denetim gerekiyorsa bridging kullanılır.
• "Bridging'de sunucu kendiliğinden doğrulanır." Certificate Verification varsayılan olarak None'dır; doğrulama için Required ve bir Verification CA Profile seçilir (Backend'e HTTPS ile bağlanırken backend sertifikasını doğrulayabilir miyim?).
• "L7 TCP'de TCP + TLS seçilince WAF da çalışır." WAF yalnızca HTTP vService'tedir; L7 TCP'de TLS çözülse de içerik HTTP olarak işlenmez.
• "TCP + TLS passthrough'tur." TCP + TLS TLS'i TR7'de sonlandırır; passthrough için Protocol = TCP seçilir.

Dokümantasyonda nasıl yapılır

• HTTP (L7) vService · Protocol
• L7 TCP vService · Protocol
• Backend Services · SSL Service
• SSL SNI Info · SSL passthrough'da SNI bazlı yönlendirme

İlgili sorular

• SSL offloading (termination) nedir, nasıl yapılır?
• SSL passthrough nedir; ne zaman termination yerine passthrough kullanmalıyım?
• SSL bridging nedir; backend'e giden trafiği de nasıl şifrelerim?