WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?

Kısa cevap

Evet, TLS'in TR7 üzerinde sonlandırılması şartıyla: WAF isteği, HTTP vService TLS'i sonlandırdıktan sonra ve Kurum Servisine göndermeden önce inceler. Bunun için vService'in HTTP tipinde olması, Frontend satırının Protocol alanında Encrypted (HTTPS) grubundan bir seçenek (HTTP/1.1, HTTP/2 ya da HTTP/3 rozetli varyantları) seçilmesi ve Certificate alanında en az bir sertifika seçilmesi gerekir. Kurum Servisine giden trafik şifresiz (SSL offloading) ya da Kurum Servisinde SSL Service açılarak yeniden şifreli (SSL bridging) olabilir; WAF iki durumda da içeriği görür. Şifreli trafik TR7'de sonlandırılmadan iletilirse (SSL passthrough, L7 TCP vService) ya da L7 TCP vService TLS'i sonlandırsa bile WAF kullanılamaz.

Nasıl Çalışır?

HTTPS isteği TLS ile şifreli gelir; içerik ancak TLS oturumunu sonlandıran taraf için okunur hâle gelir. TR7'de HTTP vService, Encrypted (HTTPS) grubundaki bir Protocol seçeneğinde TLS'i kendi üzerinde sonlandırır; WAF isteği bu noktadan sonra, hedef Kurum Servisi seçilmeden önce açık hâliyle denetler.

Yapı	TLS nerede sonlandırılır	Kurum Servisine giden trafik	WAF içeriği görür mü
SSL offloading	TR7 (HTTP vService)	Şifresiz	Evet (SSL offloading (termination) nedir, nasıl yapılır?)
SSL bridging	TR7 (HTTP vService)	Yeniden şifreli (SSL Service açık)	Evet (SSL bridging nedir; backend'e giden trafiği de nasıl şifrelerim?)
SSL passthrough	Kurum Servisi (L7 TCP vService, Protocol = TCP)	TR7 açmadan iletir	Hayır (SSL passthrough nedir; ne zaman termination yerine passthrough kullanmalıyım?)
L7 TCP'de TLS sonlandırma	TR7 (L7 TCP vService, Protocol = TCP + TLS)	Şifresiz ya da yeniden şifreli	Hayır; L7 TCP vService'te WAF yoktur (TR7 WAF hangi vService türlerinde çalışır; L7 TCP veya Network vService'te kullanabilir miyim?)

HTTP/1.1, HTTP/2 ve HTTP/3 rozetli seçenekler arasında WAF açısından fark yoktur; denetim TLS sonlandırıldıktan sonra ayrıştırılmış HTTP isteği üzerinde yapılır.

TR7'de Gerekenler

1. Sertifika TR7'de önceden tanımlı olmalıdır; yoksa SSL/TLS Certificates ekranında eklenir ya da içe aktarılır.
2. HTTP vService'in Frontend satırında Protocol = Encrypted (HTTPS) grubundan bir seçenek seçilir; bu seçimle Certificate alanı görünür ve sertifika seçilir. Birden fazla sertifika seçilirse istemcinin SNI ile istediği alan adına göre eşleştirilir.
3. İzin verilen TLS sürümleri ve şifre paketleri Details altındaki SSL Security profiliyle belirlenir.
4. vService'te WAF açılır: Bir vService'te WAF korumasını nasıl etkinleştiririm?

TLS sonlandırmanın durumu vService'in Load Balancer Management ekranındaki TLS termination kutusunda okunur; sertifika seçilmemişse kutuda "TLS is terminated but no certificate is selected" cümlesi yazar ve "no certificate is selected" kısmı amber renkle vurgulanır.

Sık Karıştırılan Noktalar

• "Encrypted (HTTPS) seçmek yeterlidir." Certificate alanı boş bırakılırsa form kaydı engellemez ama o Frontend satırı TLS sonlandırmadan düz HTTP dinler; 80 portunda ayrıca şifresiz bir satır açık kalırsa o adresten şifresiz erişim de sürer.
• "Backend'e şifreli gitmek WAF'ı devre dışı bırakır." SSL bridging'de de TLS önce TR7'de sonlandırılır; WAF isteği TR7'de açılmış hâliyle denetler, ardından istek Kurum Servisine yeniden şifrelenerek gönderilir.
• "L7 TCP vService TLS'i sonlandırınca WAF kullanılabilir." WAF yalnızca HTTP vService'te bulunur; L7 TCP'de TLS sonlandırılsa da istek HTTP olarak ayrıştırılmaz.

Dokümantasyonda nasıl yapılır

• HTTP (L7) vService · Protocol
• HTTP (L7) vService · Certificate
• Backend Services · SSL Service
• WAF - WAAP · TR7'de WAF

İlgili sorular

• SSL offloading (termination) nedir, nasıl yapılır?
• SSL passthrough nedir; ne zaman termination yerine passthrough kullanmalıyım?
• TR7 WAF hangi vService türlerinde çalışır; L7 TCP veya Network vService'te kullanabilir miyim?