SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

Tek bir IP adresinin açabileceği bağlantı sayısını sınırlayabilir miyim (Source IP Connection Protection)? ​

Kısa cevap

Evet. Bot/DDoS korumasında L7 DDoS Protection'ın Source IP Connection Protection bloğu, tek bir kaynak adresin bir zaman penceresinde açtığı yeni bağlantıları sayar ve Connection Limit aşıldığında Limit Action'ı uygular. Varsayılanlar 10 saniyelik pencerede 100 bağlantı ve Silent Drop'tur; blok varsayılan olarak açıktır ama L7 DDoS Protection Monitor modunda başladığı için yaptırım ancak koruma Active yapıldığında uygulanır. Sayılan şey o anda açık bağlantı sayısı değil, pencere içinde açılan bağlantı sayısıdır. İsteğe bağlı Hard Ceiling (Quarantine) tanımlanırsa tavanı aşan kaynak ceza kutusuna alınır. Blok HTTP ve L7 TCP vService'lerde çalışır; L7 TCP'de aksiyon Silent Drop ile sınırlıdır.

Sorun: Tek Kaynağın Bağlantı Seli ​

Bazı istemciler çok sayıda istek göndererek değil, çok sayıda bağlantı açarak kaynak tüketir: her bağlantı için TLS el sıkışması, bellek ve oturum kaydı harcanır. vService geneli limitler bu durumda geç devreye girer ya da meşru kullanıcıları da etkiler; tek bir kaynağı ayırıp yalnızca onu durdurmak için kaynak adres başına bir sayaç gerekir.

Çözüm ​

Source IP Connection Protection ​

  • Nasıl çalışır Her kaynak adres kendi sayacını taşır. Her yeni bağlantı bir kez sayılır; aynı bağlantı üzerinden gelen sonraki istekler (keep-alive, HTTP/2) sayacı artırmaz. Sayaç Time Window içinde Connection Limit'i aştığında yalnızca o kaynak Limit Action ile karşılanır.
  • Nerede açılırBot/DDoS Management → L7 DDoS Protection kartı → Source IP Connection Protection bloğunun kalem ikonu
  • Gereksinim vService'te Bot/DDoS korumasının açık olması; yaptırım için L7 DDoS Protection'ın Active modda olması
  • vService tipi HTTP ve L7 TCP (L7 TCP'de aksiyon yalnızca Silent Drop)
  • Değerlendirme sırası İlk eşleşen kazanır: bir istek daha üstteki bir blokta karara bağlandıysa bu blok o istek için yaptırım üretmez (blok sırası)

Adım adım yapılandırma ​

1
Adım 1 Bot/DDoS Management sekmesini aç

Left Monitor Panel açılır, Bot/DDoS Protected vServices sekmesinden vService'e tıklanır ve Bot/DDoS Management sekmesine geçilir.

2
Adım 2 Bloğun düzenleme penceresini aç

L7 DDoS Protection kartının gövdesindeki Source IP Connection Protection bloğunun sağ üstündeki kalem ikonuna tıklanır; Edit - Source IP Connection Protection penceresi açılır (Edit ekranı).

3
Adım 3 Bloğun açık olduğunu doğrula

En üstteki Source IP Connection Protection anahtarı açık olmalıdır (varsayılan: açık). Kapalıyken diğer alanlar gizlenir.

4
Adım 4 Pencereyi ve limiti gir

Time Window sayı ve birim olarak girilir (varsayılan 10 seconds; en az 1 saniye, en fazla 1 saat). Connection Limit alanına pencere içinde tek bir adresin açabileceği bağlantı sayısı tam sayı olarak yazılır (varsayılan 100). Sayaç bu değeri aştığında blok tetiklenir.

5
Adım 5 Limit Action'ı seç

HTTP vService'te Silent Drop (varsayılan), Block, Tarpit, Redirect, Show Content ya da Show Captcha seçilir; bu blokta Quarantine seçeneği yoktur. Block ve Tarpit için Response Status Code (varsayılan 403), Redirect için yönlendirme adresi ve kodu, Show Content için içerik sayfası ve durum kodu girilir. L7 TCP vService'te yalnızca Silent Drop sunulur.

6
Adım 6 Sert tavanı tanımla (isteğe bağlı)

Daha sert ikinci bir kademe isteniyorsa Hard Ceiling (Quarantine) açılır; alan bloğun varsayılan limitinin iki katıyla (200) dolar, gereken değer elle yazılır. Tavanın aksiyonu seçilemez, her zaman Quarantine'dır. Tavan açıkken Limit Action yalnızca limit ile tavan arasında çalışır; tavanı aşan kaynak Quarantine kartındaki süre ve aksiyonla (varsayılan 30 minutes, Silent Drop) karşılanır.

7
Adım 7 Kaydet

Pencerenin altındaki cümle kartta görünecek hâliyle okunur (if traffic from any single IP exceeds <limit> connections in <pencere>, <aksiyon>) ve Edit butonuna tıklanır. Ayrı bir dağıtım adımı yoktur.

8
Adım 8 Korumayı Active yap

L7 DDoS Protection kartının başlığındaki Edit bağlantısıyla açılan pencerede DDoS Protection alanı Active yapılır ve Edit butonuyla kaydedilir. Bu alan bütün L7 DDoS bloklarını birlikte yaptırıma geçirdiği için önce diğer blokların limitleri de gözden geçirilir. Limit doğrulanana kadar koruma Monitor modunda bırakılabilir.

Doğrulama ​

1Kaynak başına bağlantı yüküTR7 tarafı

vService'in Live Stats sekmesindeki Source IP Statistics bölümünde Peak Conn/IP (10s) ve P95 Conn/IP (10s) kartlarına bakılır; limit bu değerlere göre seçilir.

BeklenenMeşru trafikte P95 değeri limitin belirgin biçimde altında
Kartlar on saniyelik sabit pencerede ölçer; limit penceresi 10 saniyeden farklıysa değerler orantılı okunur.
2Event Logs satırıTR7 tarafı

vService'in Event Logs sekmesinde limiti aşan kaynağın satırı açılır; önizlemenin L7 DDoS sekmesinde DDoS Rule ve Trigger (value / limit) okunur.

BeklenenDDoS Rule: Source IP Connection Rate · Action: Silently dropped (Monitor'de: Would silently drop · Monitor)
Hard Ceiling aşıldığında Action metninin sonuna → Quarantined (DDoS limit) eki gelir.

Sık Yapılan Hatalar ​

  • Bloğu eşzamanlı bağlantı sınırı sanmak. Blok o anda açık bağlantıları değil, pencere içinde açılan yeni bağlantıları sayar. Birkaç uzun süreli bağlantıyı açık tutan istemci limite takılmaz; kısa aralıklarla çok sayıda bağlantı açan istemci takılır.
  • Limiti yapılandırıp korumayı Monitor'de bırakmak. Monitor modunda sayaç çalışır ve olay yazılır, ancak hiçbir bağlantı durdurulmaz; Hard Ceiling kademesi de yalnızca Active modda işler.
  • NAT arkasındaki kullanıcıları hesaba katmamak. Kurumsal ağlar ve mobil operatörler çok sayıda kullanıcıyı tek adresten çıkarabilir. Bu kaynaklar DDoS Whitelist Entries ile muaf tutulur ya da limit buna göre seçilir.
  • Arama motoru robotlarının kendiliğinden muaf olduğunu varsaymak. L7 DDoS Protection'ın Trust Verified Bots ayarı varsayılan olarak kapalıdır; açıldığında doğrulanmış botlar kaynak bazlı bloklardan muaf tutulur.
  • vService genelindeki sınırla karıştırmak. Bütün istemcilerin toplam bağlantı hızı Total Connection Protection ile sınırlanır; o blok tek bir kaynağı değil vService'in tamamını ölçer.

Dokümantasyonda nasıl yapılır

İlgili sorular