Bot/DDoS korumasının Off, Monitor ve Active modları ne fark eder; korumayı açtığım anda trafik engellenir mi?

Kısa cevap

Bot/DDoS korumasındaki üç koruma, L7 DDoS Protection, IP Reputation Protection ve Bot Protection, kendi modunu ayrı ayrı taşır. Off modunda koruma hiç değerlendirme yapmaz; Monitor modunda limitler ölçülür, skorlar hesaplanır ve uygulanacak karar Event Logs'a Would… biçiminde yazılır ama hiçbir istek durdurulmaz; Active modunda kural listesi ve limitler trafiğe uygulanır. Koruma açıldığında L7 DDoS Protection ve Bot Protection Monitor modunda başlar (L7 TCP vService'te Bot Protection Off gelir), IP Reputation Protection ise Active doğar (başlangıç modları). Bu yüzden korumayı açtığım anda itibar listelerinde kayıtlı adreslerden gelen trafik karantinaya alınır ya da 403 ile engellenir; diğer iki koruma yalnızca izler.

Nasıl Çalışır?

Bot/DDoS korumasında WAF'taki gibi tek bir mod anahtarı yoktur. Her koruma kendi modunu taşır ve üçü aynı anda farklı modlarda çalışabilir:

	Off	Monitor	Active
Ölçüm ve skor	Yapılmaz	Yapılır	Yapılır
Kural ve limit kararı	Verilmez	Verilir, uygulanmaz	Verilir ve uygulanır
İstek durdurma (Block, Show Captcha, Quarantine, Silent Drop…)	Yok	Yok	Var
Event Logs satırı	Bu koruma için yazılmaz	Would block · Monitor, Would show CAPTCHA · Monitor gibi turuncu satırlar	Blocked, CAPTCHA shown gibi kırmızı satırlar
L7 DDoS Hard Ceiling kademesi	-	Ayrı kademe olarak işlemez	Uygulanır

Monitor modu yaptırıma geçmeden önceki provadır: limitler, aksiyonlar ve kural satırları bu modda da yazılır ve saklanır, ancak hiçbiri tetiklenmez. Alana odaklanıldığında arayüz bunu şöyle söyler: Actions fire only while the pillar is Active — in Monitor everything here stays staged and no traffic is affected.

Bot/DDoS Management ekranının en üstündeki şerit bu üç moddan türeyen bir okuma gösterir; bir ayar değildir (durum nasıl hesaplanır):

Şeritte yazan	Koşul
Active (Attack traffic is being blocked.)	En az bir koruma Active modda
Monitoring (No layer is blocking — the layers are only monitoring.)	Hiçbiri Active değil, en az biri Monitor modda
Not Active (This pool has no active threat protection.)	Üç koruma da Off

Şeridin sağ üstündeki Protecting, Monitoring ve Off rozetleri hangi korumanın hangi modda olduğunu sayar.

Korumayı Açtığımda Ne Olur?

Koruma bir vService'te açıldığında yapılandırma kaydı varsayılan değerlerle oluşturulur ve üç koruma şu modlarla başlar:

Koruma	HTTP vService	L7 TCP vService	Açıldığı anda trafiğe etkisi
L7 DDoS Protection	Monitor	Monitor	Limitler ölçülür, hiçbir istek durdurulmaz
Bot Protection	Monitor	Off	Skor hesaplanır, hiçbir istek durdurulmaz
IP Reputation Protection	Active	Active	Kural listesi uygulanır

IP Reputation Protection'ın varsayılan kural listesi iki satırdır: sekiz saldırı kategorisi ile operatörün elle girdiği liste Quarantine aksiyonuna, vpnIp dışındaki diğer kategoriler Block (403) aksiyonuna bağlıdır. L7 TCP vService'te Block yerine Silent Drop yazılır. Karantinaya alınan adres, Quarantine kartındaki ayarla (varsayılan 30 minutes, Silent Drop) karşılanır. Trust Verified Bots varsayılan olarak açık olduğu için doğrulanmış arama motoru robotları bu kurallardan muaf tutulur.

İstek durdurmayan ama yanıtı değiştiren bir istisna vardır: Bot Protection Monitor modundayken de Browser Check (varsayılan Suspicious Visitors) çalışır. Skoru zaten şüpheli bandına giren ziyaretçiye, istek devam etmeden önce kısa ve sessiz bir tarayıcı denetimi sayfası sunulur; ziyaretçiden bir şey istenmez ve istek engellenmez. Bunun istenmediği vService'te Browser Check Off yapılır.

Waiting Room bu üç korumanın dışındadır; kendi modu vardır ve varsayılanı Off'tur.

TR7'de Mod Nerede Değiştirilir?

Bot/DDoS, TR7 WAAP ürününün bot yönetimini ve L7 DDoS Protection eklentisini kapsar (TR7 ürün yapısındaki yeri). Mod, her korumanın kendi düzenleme penceresinden değiştirilir:

1. Left Monitor Panel açılır, Bot/DDoS Protected vServices sekmesinden vService seçilir ve Bot/DDoS Management sekmesine geçilir (ekrana erişim).
2. İlgili koruma bandının başlığındaki Edit bağlantısına tıklanır.
3. Açılan pencerede mod alanı (DDoS Protection, IP Reputation Protection ya da Bot Protection) Off, Monitor ya da Active yapılır.
4. Pencere Edit butonuyla kaydedilir; ayrı bir dağıtım adımı yoktur, yapılandırma kesintisiz uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir.

Önerilen geçiş sırası: önce IP Reputation satırları Event Logs'ta Blocked ve Blocked by quarantine değerleriyle gözden geçirilir, sonra Monitor modundaki korumaların Would… satırları ve Live Stats okunarak limitler ayarlanır, en sonda korumalar Active yapılır (bundan sonra ne yapılmalı). Learning varsayılan Smart Advisor modunda, izleyen bir korumanın Active'e geçmeye hazır olduğunu öneri olarak sunar ama modu kendiliğinden değiştirmez; yalnızca Automatic modda hazır korumaları kendisi etkinleştirir. Off yapılmış bir korumayı öğrenme hiçbir modda açmaz.

Sık Karıştırılan Noktalar

• "Şeritte Active yazıyorsa üç koruma da engelliyor." Tek bir korumanın Active olması şeridi Active'e taşır. Hiç dokunulmamış bir HTTP vService'te şerit Active okur ve rozetler Protecting: 1, Monitoring: 2 gösterir; engelleyen yalnızca IP Reputation Protection'dır.
• "Monitor modunda hiçbir şey kaydedilmez." Monitor modunda uygulanacak her karar Event Logs'a turuncu Would… · Monitor satırıyla yazılır; L7 DDoS, Bot ve IP Reputation sayaçları da çalışır.
• "Modu boş bırakmak Off demektir." Hiç yazılmamış mod L7 DDoS ve Bot Protection'da Monitor, IP Reputation Protection'da Active sayılır. Off her zaman elle seçilen bir değerdir; L7 TCP vService'te Bot Protection'ın varsayılan Off'u tek istisnadır.
• "Monitor modundaki koruma bir saldırı görünce kendiliğinden Active'e geçer." Varsayılan Smart Advisor öğrenme modunda geçiş yalnızca öneri olarak sunulur ve onaylanınca uygulanır; korumayı kendiliğinden Active yapan tek durum öğrenmenin Automatic modda çalışmasıdır (AI Learning Settings · Learning Mode).

Dokümantasyonda nasıl yapılır

• Bot/DDoS Protection Mode · Durum nasıl hesaplanır?
• Bot/DDoS Protection Mode · Varsayılan modlar
• How to Enable Bot/DDoS Protection? · Üç Korumanın Başlangıç Modları
• L7 DDoS Protection Edit · DDoS Protection
• Event Logs · Log hangi durumda üretilir?

İlgili sorular

• WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?
• Bilinen kötü IP'leri (IP Reputation / blacklist kategorisi) engelleyebilir miyim?
• WAF ile L7 DDoS & Threat Protection arasındaki fark nedir; ikisine birden ihtiyacım var mı?
• Bot/DDoS öğrenme motorunun önerilerini nasıl incelerim ve seçerek uygularım; uygulanan bir öneri geri alınabilir mi?