Bir vService'te WAF korumasını nasıl etkinleştiririm?

Kısa cevap

WAF her HTTP vService için ayrı açılır (WAF etkinleştirmek ne demek) ve WAF - WAAP lisansı gerektirir. Birden çok vService için WAF-Protected vService List ekranında Enable tıklanır, HTTP vServices to WAF alanında vService'ler seçilip Add ile onaylanır; tek vService için vService formunda Details → WAF kutusu işaretlenip Save tıklanır. Aynı anahtar Load Balancer Management sekmesindeki Security Modules bölümünün Edit penceresinden ve WEB-CLI'da lb service update komutunun --waf true alanıyla da açılır. Koruma Learning Mode'da başlar ve WAF kararıyla istek engellemez; ayarlar WAF Management sekmesinde yapılır.

Sorun: HTTP vService WAF Korumasız Çalışıyor

Cihazın lisansında WAF - WAAP bulunsa da koruma cihaz genelinde tek bir anahtarla açılmaz: bir vService'te etkinleştirilmedikçe o vService'in trafiği WAF denetimine girmez (WAF etkinleştirmek ne demek). Koruma yalnızca HTTP tipindeki vService'te açılabilir; L7 TCP ve Network vService'lerde WAF seçeneği görüntülenmez (TR7 WAF hangi vService türlerinde çalışır; L7 TCP veya Network vService'te kullanabilir miyim?).

Çözüm: Dört Yöntem

Dört yöntem de vService kaydındaki aynı WAF anahtarını değiştirir ve aynı varsayılanları oluşturur (WAF etkinleştirildiğinde hangi varsayılan ayarlar oluşur?); biri seçilir.

Durumunuz	Uygun yöntem
Birden çok HTTP vService'i tek işlemde korumaya almak	Yöntem 1: WAF-Protected vService List
Tek vService ya da yeni kurulan bir vService	Yöntem 2: vService formu → Details
vService'in Load Balancer Management sekmesinden	Yöntem 3: Security modules
Komut satırından	Yöntem 4: WEB-CLI

Yöntem 1: WAF-Protected vService List Önerilen

• Nasıl çalışırWAF-Protected vService List ekranındaki Enable ile seçilen bütün HTTP vService'lerde WAF tek işlemde açılır. Seçim listesinde yalnızca WAF'ı kapalı HTTP vService'ler bulunur; durdurulmuş vService'ler de listelenir.
• Nerede açılır Configuration Menu → WAF → WAF-Protected vService List → Enable
• GereksinimWAF - WAAP lisansı; WAF alanında değiştirme yetkisi (kapsam ve sınırlar)
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Ön koşulları kontrol et

Korunacak vService HTTP tipinde olmalıdır; yoksa önce HTTP tipinde bir vService oluşturulur (Kurulumda önce Kurum Servisini mi, vService'i mi oluşturmalıyım?). HTTPS trafiğinin içeriğinin denetlenmesi için TLS'in bu vService'te sonlandırılması gerekir (WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?). TR7'nin önünde CDN ya da proxy varsa vService'e Trusted Proxy profili atanır; aksi hâlde WAF bütün istekleri proxy'nin adresinden geliyor görür (TR7'nin önünde Cloudflare / Akamai gibi bir CDN var; gerçek istemci IP'sini nasıl alırım (Trusted Proxy)?).

2

Adım 2 Listeyi aç

Sol alttaki TR7 logosuyla Configuration Menu açılır ve WAF → WAF-Protected vService List seçilir (nasıl erişilir).

3

Adım 3 Enable sekmesini aç

Araç çubuğundaki Enable tıklanır; listenin yanında Add başlıklı sekme açılır.

4

Adım 4 vService'leri seç

HTTP vServices to WAF alanında korunacak vService'ler seçilir. Seçim yokken alan Nothing chosen yazar ve altında At least 1 must be selected uyarısı görünür. Seçilebilecek vService sayısında üst sınır yoktur.

5

Adım 5 Kaydet

Sekmenin altındaki Add tıklanır; sekme kapanır ve seçilen vService'ler listede görünür. Değişiklik ayrı bir dağıtım adımı olmadan, açık bağlantılar kopmadan uygulanır (etkinleştirildikten sonra ne oluşur). Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir. Lisansta WAF - WAAP ürünü yoksa işlem The license does not include this module: WAF hatasıyla reddedilir.

Doğrulama

1ListeTR7 tarafı

WAF-Protected vService List ekranında vService satırının WAF mode ve OWASP Protection Level kolonlarına bakılır.

BeklenenWAF mode: 1 Learning · OWASP protection level: Very tight

Açıldıktan hemen sonra WAF mode hücresi kısa bir süre boş, OWASP Protection Level hücresi Undefined görünebilir; yapılandırma kaydı oluşunca değerler gelir. Daha önce WAF'ı açık olup kapatılmış bir vService ise kayıtlı moduyla döner.

Yöntem 2: vService Formu → Details

• Nasıl çalışır vService formunun Details listesindeki WAF kutusu, formdaki diğer değişikliklerle birlikte vService kaydına yazılır. Kutu ayrı bir ayar bölümü açmaz; bütün WAF ayarları WAF Management sekmesindedir.
• Nerede açılırLoad Balancer → Load Balancer vService List → vService → Edit → Details
• GereksinimWAF - WAAP lisansı; Load Balancer ve WAF alanlarında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Ön koşulları kontrol et

vService HTTP tipinde olmalıdır; HTTPS içerik için TLS bu vService'te sonlandırılır, TR7'nin önünde CDN ya da proxy varsa Trusted Proxy profili atanır (aynı formda yapılabilir; TR7'nin önünde Cloudflare / Akamai gibi bir CDN var; gerçek istemci IP'sini nasıl alırım (Trusted Proxy)?).

2

Adım 2 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService'e sağ tıklanıp Edit seçilir (Yol 2). Koruma yeni bir vService kurulurken de aynı formdan açılabilir (Add).

3

Adım 3 Details listesini aç

Formun sağ üst köşesindeki Details tıklanır; sağda Debug, WAF, Trusted Proxy gibi seçenekleri taşıyan liste açılır.

4

Adım 4 WAF kutusunu işaretle

Debug satırının hemen altındaki WAF kutusu işaretlenir. Lisansta WAF - WAAP ürünü yoksa ya da kullanıcının WAF alanında değiştirme yetkisi yoksa kutu pasif görünür.

5

Adım 5 Kaydet

Save tıklanır; değişiklik ayrı bir dağıtım adımı olmadan, açık bağlantılar kopmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1WAF ManagementTR7 tarafı

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesindeki mod kartına bakılır.

BeklenenMavi Learning mode kartı

Yöntem 3: Security Modules

• Nasıl çalışırLoad Balancer Management sekmesindeki Security Modules bölümünün Edit bağlantısı, vService formunu yalnızca WAF, AGS ve L7 DDoS & Threat Protection kutularına indirgenmiş bir pencere olarak açar (Edit bağlantısı).
• Nerede açılır Left Monitor Panel → Load Balancer vServices → vService → Load Balancer Management → Security Modules → Edit
• GereksinimWAF - WAAP lisansı; Load Balancer ve WAF alanlarında değiştirme yetkisi
• vService tipi HTTP (WAF kartı L7 TCP ve Network vService'te görüntülenmez)

Adım adım yapılandırma

1

Adım 1 Load Balancer Management sekmesini aç

Left Monitor Panel'de Load Balancer vServices kategorisinde vService'e tıklanır ve Load Balancer Management sekmesine geçilir (ekrana erişim).

2

Adım 2 Security modules penceresini aç

Security Modules bölüm başlığındaki Edit tıklanır; WAF, AGS ve L7 DDoS & Threat Protection kutularını taşıyan pencere açılır.

3

Adım 3 WAF kutusunu işaretle

WAF kutusu işaretlenir.

4

Adım 4 Kaydet

Pencerenin altındaki Save tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1WAF kartıTR7 tarafı

Security modules bölümündeki WAF kartının rozetine bakılır.

BeklenenLearning mode

Rozet, host gruplarının baskın modunu gösterir; kartın altındaki Management bağlantısı WAF Management sekmesini açar.

Yöntem 4: WEB-CLI

• Nasıl çalışır vService kaydının waf alanı true yapılır (koruma ve işleme anahtarları).
• Nerede açılırWEB-CLI → lb service update
• Gereksinim WEB-CLI erişimi; WAF - WAAP lisansı
• vService tipi HTTP (--waf alanı yalnızca HTTP vService'te bulunur)

Adım adım yapılandırma

1

Adım 1 WAF'ı aç

<vService> yerine vService'in kimliği yazılır (REST API):

lb service update id <vService> --waf true

Birden çok vService için toplu güncelleme kullanılır; --ids.N alanlarına vService kimlikleri yazılır, kimlik verilmezse seçim listesi açılır; komut her durumda etkilenecek kayıt sayısını yazar ve onay sözcüğü yazılmadan değişiklik yapmaz (toplu güncelleme):

lb service update-many target selected --ids.0 <vService-1> --ids.1 <vService-2> --waf true

Doğrulama

1vService kaydıTR7 tarafı

vService kaydı görüntülenir.

Komut: lb service show <vService>

Beklenenwaf satırında true

vService, WAF-Protected vService List ekranında da görünür.

Sık Yapılan Hatalar

• L7 TCP ya da Network vService'te WAF aramak. WAF kutusu ve HTTP vServices to WAF listesi yalnızca HTTP vService'leri kapsar (TR7 WAF hangi vService türlerinde çalışır; L7 TCP veya Network vService'te kullanabilir miyim?).
• WAF'ı açıp Learning mode'da bırakmak. Learning Mode koruma sağlamaz; öğrenmeden sonra Monitor mode ve Blocking mode'a geçilir (WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?).
• TLS TR7'de sonlandırılmadan HTTPS içeriğin denetlendiğini sanmak. WAF şifreli içeriği ancak TLS vService'te açıldığında görür (WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?).
• CDN arkasında Trusted proxy atamadan öğrenmeye başlamak. Bütün istekler CDN adreslerinden geliyor görünür; kara liste ve öğrenme eşikleri (farklı istemci, ülke ve ASN sayısı) bu adreslerle hesaplanır.
• Load Balancer vService List'teki Enable'ı WAF anahtarı sanmak. O buton vService'in çalışma durumunu değiştirir (Birden fazla vService'i aynı anda etkinleştirebilir, devre dışı bırakabilir veya silebilir miyim?).
• Pasif WAF kutusunu yalnızca yetki sorunu sanmak. Kutu, lisansta WAF - WAAP ürünü yoksa da pasif görünür; lisans Modules alanında kontrol edilir.

Dokümantasyonda nasıl yapılır

• How to Enable WAF? · İki yol
• How to Enable WAF? · Yol 1: WAF-Protected vService List üzerinden
• How to Enable WAF? · Yol 2: vService formu üzerinden
• Load Balancer Management · Security Modules
• WEB-CLI lb service · Koruma ve işleme anahtarları

İlgili sorular

• WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?
• WAF'ı açtığım anda trafik engellenmeye başlar mı?
• WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?