vService'e hiç erişilemiyor; adım adım neyi kontrol etmeliyim?

Kısa cevap

Önce istemcinin gördüğü hata ayrılır: Connection refused paketin TR7'ye ulaştığını ama o IP ve portta dinleyen olmadığını, zaman aşımı ise paketin ulaşmadığını ya da yanıtın dönemediğini gösterir. Ardından vService durumu ve önizlemedeki Details mesajları okunur: vService Disabled olabilir, çalışmıyor olabilir (vService is down), frontend IP'si ya da arayüzü olmayabilir veya kapalı olabilir ya da VIP eş cihazda olabilir. Bunlar yolundaysa DNS'in doğru IP'yi verdiği, Firewall'daki kullanıcı kurallarının vService portunu kesmediği ve paketlerin tcpdump ile TR7'ye ulaşıp ulaşmadığı kontrol edilir. Paket geliyor ama el sıkışma tamamlanmıyorsa sorun dönüş rotasındadır.

Sorun: Bağlantı Hiç Kurulamıyor

Tarayıcı ya da istemci vService'e bağlanamıyor: sayfa zaman aşımına düşüyor ya da bağlantı hemen reddediliyor. HTTP yanıtı (503, 502, 504) alınıyorsa vService çalışıyordur ve sorun yanıtın kendisindedir; bu sayfa bağlantının hiç kurulamadığı durumu ele alır.

IP adresleri vService'ten bağımsız olarak cihazda tanımlıdır: vService Disabled olduğunda ya da çalışmadığında frontend IP'si ping'e yanıt vermeye devam eder, yalnızca vService'in portları kapanır (Disable). Bu yüzden ping yanıtı tek başına vService'in çalıştığını göstermez.

Nedenler ve Çözümler

Neden	Nasıl anlaşılır	Çözüm
vService Disabled	Refused; vService gri, Details'te vService disabled	vService Enable edilir
Lisans trafiği durdurdu	vService gri, Details'te Stopped by the license	Geçerli lisans yüklenir; vService kendiliğinden yeniden başlar
vService çalışmıyor	Refused; vService kırmızı, Details'te vService is down ve yapılandırma hata özeti	Özetteki hata giderilir (vService önizlemesindeki configuration error(s) uyarısı (DNS Resolution Error, Port binding error) ne anlama gelir; Port Collision nerede çıkar?)
Frontend IP, port ya da protokol uyumsuz	Refused ya da TLS hatası	vService'in frontend satırı düzeltilir
Frontend IP ya da arayüzü yok veya kapalı	Zaman aşımı; Details'te IP ve arayüz mesajları	IP etkinleştirilir ya da eklenir, arayüz düzeltilir (Farklı bir subnet'teki / VLAN'daki IP'de vService açmak için önce ağ tarafında ne yapmam gerekir?)
VIP eş cihazda ya da hiçbir cihazda etkin değil	Zaman aşımı; Details'te VIP <ip> is on slave ya da VIP <ip> is down for both master and slave	VIP ve cluster durumu incelenir (vService listesinde cluster durumunda ikiye bölünmüş durum dairesi ne anlama gelir?)
DNS yanlış IP veriyor	IP ile deneme çalışıyor, alan adıyla çalışmıyor	DNS kaydı düzeltilir
Firewall'da kullanıcı DENY kuralı	Zaman aşımı; tcpdump'ta istemcinin SYN paketi var, yanıt yok	Kural daraltılır ya da silinir
TR7'nin önündeki güvenlik duvarı	tcpdump'ta istemcinin SYN paketi yok	Dış güvenlik duvarında frontend IP ve portuna izin verilir
Dönüş rotası eksik	SYN paketi geliyor, el sıkışma tamamlanmıyor	vService'in route table'ına istemci ağına rota ya da varsayılan ağ geçidi eklenir

Nereden İzlenir?

Ekran	Yol	Ne gösterir
vService Status	Load Balancer → Load Balancer vService List	vService'in renkli durum dairesi; cluster'da cihaz başına iki yarım
Details	Load Balancer vServices → vService → sağ panel	Durum mesajları ve yapılandırma hata özeti
Arayüz ve IP durumları	Network → Interfaces	IP'nin Up, Disabled ya da Absent olduğu; cluster'da VIP'in (M) ya da (S) eki
Firewall	Network → Firewall	Kullanıcı kuralları, otomatik üretilen vService izinleri ve uygulama hataları
tcpdump	vService ekranı → başlıktaki tcpdump kısayolu	İstemci paketlerinin TR7'ye ulaşıp ulaşmadığı

Çözüm: Üç Yöntem

Yöntemler istemcinin gördüğü hataya göre seçilir; zaman aşımında Yöntem 2'den sonuç çıkmazsa Yöntem 3 uygulanır.

Durumunuz	Uygun yöntem
Bağlantı reddediliyor	Yöntem 1: vService durumu ve frontend tanımı
Zaman aşımı	Yöntem 2: IP, arayüz, VIP ve Firewall
Paketin TR7'ye ulaşıp ulaşmadığı	Yöntem 3: tcpdump ve dönüş rotası

Yöntem 1: vService Durumu ve Frontend Tanımı Önerilen

• Nasıl çalışır Bağlantı reddi, vService'in kapalı olduğunu, çalışmadığını ya da istemcinin kullandığı IP ve portun vService'te tanımlı olmadığını gösterir.
• Nerede açılır Load Balancer vServices → vService → Details · vService formu → Frontend
• Gereksinim Ek bir ayar gerekmez.
• vService tipi HTTP · L7 TCP · Network

Adım adım yapılandırma

1

Adım 1 Hatayı ayır

Etkilenen bir istemciden alan adı yerine frontend IP'siyle istek gönderilir:

curl -v http://192.0.2.10:80/
curl -vk https://192.0.2.10:443/

Connection refused bu yöntemle, Connection timed out Yöntem 2 ve 3 ile incelenir. HTTP yanıtı geliyorsa vService çalışıyordur; alan adıyla çalışmıyorsa DNS kaydı kontrol edilir, 5xx dönüyorsa ilgili hata sayfasına geçilir (Kullanıcılar "503 Service Unavailable" / "No Available Server" görüyor; ne yapmalıyım?).

2

Adım 2 vService'i seç

Left Monitor Panel'de Load Balancer vServices listesinden vService seçilir; sağ panelde Details sekmesi açılır.

3

Adım 3 Mesaja göre ilerle

• vService disabled: vService elle kapatılmıştır; Load Balancer vService List ekranında satıra sağ tıklanıp Enable seçilir (Enable).
• vService is down: vService çalışmıyordur; Details'teki yapılandırma hata özeti (Port binding error, DNS Resolution Error, SSL certificate file error…) okunur (vService önizlemesindeki configuration error(s) uyarısı (DNS Resolution Error, Port binding error) ne anlama gelir; Port Collision nerede çıkar?).
• Stopped by the license: lisans trafiği durdurmuştur; yapılandırma korunur ve geçerli lisans yüklendiğinde vService kendiliğinden yeniden başlar.
• Modifying vService: yapılandırma uygulanıyordur; kısa süre beklenir.

4

Adım 4 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilir ve Edit butonuna tıklanır.

5

Adım 5 Frontend satırlarını kontrol et

İstemcinin kullandığı IP ve port Frontend satırlarında birebir var mı, port aralığı tanımlıysa istemcinin portu aralığın içinde mi, Protocol (HTTP vService'te HTTP ya da HTTPS) istemcinin bağlantısıyla uyumlu mu kontrol edilir; alanların açıklaması docs'taki HTTP ve L7 TCP vService Frontend bölümlerinde, Network vService için Protocol bölümündedir. Aynı IP ve portu paylaşan vService'lerde isteğin Host ya da SNI ile doğru vService'e gittiği kontrol edilir (Aynı IP:port üzerinde birden fazla vService tanımlayabilir miyim?).

6

Adım 6 Kaydet

Değişiklik yapıldıysa Save butonuna tıklanır. vService kısa süre Evaluating (Modifying vService) durumunda görünür.

Doğrulama

1DurumTR7 tarafı

Details sekmesine yeniden bakılır.

BeklenenŞerit yeşil (OK), hata mesajı yok

2Bağlantıİstemci tarafı

İstemciden yeniden istek gönderilir: curl -v http://192.0.2.10:80/

BeklenenConnected to 192.0.2.10 ve bir HTTP yanıtı

Yöntem 2: IP, Arayüz, VIP ve Firewall

• Nasıl çalışır Zaman aşımı, frontend IP'sinin cihazda etkin olmadığını, VIP'in eş cihazda olduğunu ya da bir Firewall kuralının paketleri düşürdüğünü gösterebilir.
• Nerede açılır Details · Network → Interfaces · Network → Firewall
• Gereksinim Ek bir ayar gerekmez.
• vService tipi HTTP · L7 TCP · Network

Adım adım yapılandırma

1

Adım 1 Details'teki IP ve arayüz mesajlarını oku

vService'in Details sekmesinde <ip> interface <arayüz> is absent, <arayüz> interface <ip> IP is absent, <ip> interface <arayüz> is down ya da … link is down mesajları aranır. Hiç çalışan frontend IP'si kalmadıysa vService kırmızı (Error) görünür.

2

Adım 2 IP'nin durumunu kontrol et

Network → Interfaces ekranında frontend IP'sinin listede olduğu ve IP durumunun Up olduğu kontrol edilir. IP Disabled ise IP'ye sağ tıklanıp Enable for seçilir; IP silinmişse yeniden eklenir. Arayüz Down ya da No link ise arayüz ve kablolama düzeltilir.

3

Adım 3 Cluster'da VIP'in yerini kontrol et

Cluster kurulumunda Interfaces ekranında VIP'in hangi cihazda (M) ekiyle göründüğüne bakılır; VIP yalnızca Master olduğu cihazda trafik alır (VIP'teki Master/Slave rolü nedir?). Beklenmeyen bir geçiş varsa VIP geçiş mekanizması incelenir.

4

Adım 4 DNS'i kontrol et

İstemciden nslookup www.example.com çalıştırılır; dönen IP'nin vService'in frontend IP'si olduğu doğrulanır.

5

Adım 5 Firewall kurallarını kontrol et

Network → Firewall ekranında vService'in route table'ı seçilir ve vService portunu da kapsayan geniş bir kullanıcı DENY kuralı olup olmadığına bakılır. Gelen trafikte kullanıcı ALLOW ve DENY kuralları, otomatik üretilen vService dinleme izinlerinden önce değerlendirilir; eşleşmeyen paketler düşürülür (Kural değerlendirme sırası). Listenin altındaki Auto-generated Rules şeridinde vService için "<vService adı>" TCP rule izninin göründüğü ve listenin üstünde kırmızı errors sayacı olmadığı kontrol edilir; bu kurallar docs'taki Otomatik üretilen kurallar bölümünde listelenir.

Doğrulama

1IPTR7 tarafı

Network → Interfaces ekranında frontend IP'sinin satırına bakılır.

BeklenenIP durumu Up; cluster'da VIP bu cihazda (M) ekiyle

2Bağlantıİstemci tarafı

İstemciden curl -v http://192.0.2.10:80/ yeniden çalıştırılır.

BeklenenBağlantı kurulur

Yöntem 3: tcpdump ve Dönüş Rotası

• Nasıl çalışır Paketin TR7'ye ulaşıp ulaşmadığı ve el sıkışmanın tamamlanıp tamamlanmadığı, sorunun TR7'de mi ağda mı olduğunu ayırır.
• Nerede açılır vService ekranı → başlıktaki tcpdump kısayolu · WEB-CLI
• Gereksinim Ek bir ayar gerekmez.
• vService tipi HTTP · L7 TCP · Network

Adım adım yapılandırma

1

Adım 1 tcpdump sekmesini aç

Left Monitor Panel → Load Balancer vServices → vService seçilir; sağ panelin başlığındaki tcpdump kısayoluna tıklanır (TR7 üzerinden paket yakalayıp pcap olarak indirebilir miyim (tcpdump)?).

2

Adım 2 İstemci adresini gir

Client IP Filter alanına istemcinin IP adresi yazılır.

3

Adım 3 Yakalamayı başlat

Start butonuna tıklanır ve istemci bağlanmayı dener.

4

Adım 4 Sonucu yorumla

İstemciden hiç paket gelmiyorsa sorun TR7'nin önündeki güvenlik duvarı ya da yönlendiricidedir; TR7 tarafında değişiklik gerekmez. SYN paketi geliyor ama el sıkışma tamamlanmıyorsa (istemci SYN'i tekrarlıyorsa) TR7'nin yanıtı istemciye dönemiyordur.

5

Adım 5 Dönüş yolunu WEB-CLI'dan dene

WEB-CLI'da önce vService'in route table'ı seçilir (cihazın kendisi için v-device alanına Host yazılır, route table adı Tab listesinden alınır), ardından istemciye ping gönderilir (sys-cmd route-table set, sys-cmd ping):

sys-cmd route-table set v-device Host route-table <route-table>
sys-cmd ping -c 3 203.0.113.45

Yanıt yoksa route table'da istemci ağına rota ya da varsayılan ağ geçidi eksiktir (Route Table nedir; vService veya Kurum Servisi için ne zaman değiştirmem gerekir?).

6

Adım 6 Network vService'te LB mode'u kontrol et

Network vService'te LB Mode Direct Server Return ise sunucularda loopback hazırlığı, Route Mode ise sunucuların ağ geçidinin TR7 olması gerekir (Direct Server Return (DSR) nedir; sunucu tarafında ne hazırlık gerekir?, Route Mode'da dönüş trafiği neden TR7 üzerinden akmak zorunda?).

Doğrulama

1El sıkışmaTR7 tarafı

tcpdump çıktısına bakılır.

BeklenenSYN, SYN-ACK ve ACK görünür

Sık Yapılan Hatalar

• Ping yanıtı alınca vService'in çalıştığını sanmak. IP cihazda vService'ten bağımsız olarak kalır; vService Disabled iken de ping yanıtlanır. IP'yi kapatmak için Network → Interfaces'ta IP Disable edilir.
• DNS'i test etmeden TR7'yi incelemek. Alan adı başka bir IP'ye çözülüyor olabilir.
• Cluster'da VIP'in hangi cihazda olduğuna bakmamak. VIP yalnızca Master olduğu cihazda trafik alır.
• Firewall'da vService portunu da kapsayan geniş bir DENY kuralı yazmak. Kullanıcı kuralları otomatik vService izinlerinden önce uygulanır.
• WEB-CLI'da route table seçmeden test etmek. Yalıtılmış bir route table'daki hedef, varsayılan route table'dan denendiğinde erişilemez görünür.
• Sorun sürüyorsa bilgi toplamadan destek istemek. Destek kaydına eklenecekler: TR7 destek ekibine başvurmadan önce hangi bilgileri toplamalıyım?

Dokümantasyonda nasıl yapılır

• vService · vService Status
• Firewall · Kural değerlendirme sırası
• Interfaces List · Arayüz ve IP durumları

İlgili sorular

• vService önizlemesindeki configuration error(s) uyarısı (DNS Resolution Error, Port binding error) ne anlama gelir; Port Collision nerede çıkar?
• TR7 üzerinden paket yakalayıp pcap olarak indirebilir miyim (tcpdump)?
• vService için hangi IP adresini kullanabilirim; Interface IP ile VIP arasındaki fark nedir?