Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
WAF'ın IP itibar bilgisi L7 DDoS & Threat Protection'daki IP Reputation protection ile ortak mı?
Kısa cevap
Veri ortak, karar ayrı (nerelerde ve nasıl kullanılır). WAF'ın Blacklist Protection ayarı ile L7 DDoS & Threat Protection'ın IP Reputation Protection koruması aynı cihaz geneli IP Intelligence & Reputation kara listesini okur: TR7 itibar veritabanı, tanımlı harici kaynaklar ve elle girilen Blacklist Content birleştirilir, Whitelist Content'teki adresler çıkarılır. Aynı liste Load Balancer'daki Blacklist IP Category koşulunda, Bot Protection'da ve L4 DDoS Protection'ın Blacklist kuralında da kullanılır; liste güncellendiğinde hepsi yeni veriyle çalışır. Farklı olan eşleşmenin sonucudur. WAF'ta kara listedeki kaynak 100 puanlık Blacklisted IP ihlali olarak yazılır ve tek başına engelleme eşiğini aşar; host grubu Blocking modundaysa istek engellenir, Monitor modunda raporlanıp geçirilir (mod davranışı). Hangi kategorilerin sayılacağı Blacklist IP Category alanıyla, istisnalar Frontend Blacklist Exclusions ile belirlenir. IP Reputation Protection'da ise kategori satırlarına bağlı yaptırım (Quarantine, Block, Captcha gibi) uygulanır ve koruma açıldığı anda Active modda başlar. İkisi birlikte açıksa aynı kaynak ikisinde de yakalanır: WAF taraması önce çalıştığı için WAF kaydı ve sayaçları oluşur, istemciye ise IP Reputation Protection'ın yanıtı gider. WAF'ın vService'e özel Frontend Blacklist listesi yalnızca WAF'ta kullanılır.
Karşılaştırma
| WAF · Blacklist Protection | L7 DDoS & Threat Protection · IP Reputation Protection | |
|---|---|---|
| Veri | Cihaz geneli IP Intelligence & Reputation kara listesi; ayrıca vService'e özel Frontend Blacklist | Aynı cihaz geneli kara liste |
| Varsayılan | WAF açıldığında işaretli; Blacklist IP Category = All | Koruma açıldığında Active; varsayılan iki kural satırı (varsayılan kurallar) |
| Kategori seçimi | Blacklist IP Category: All ya da Filter ile seçilen kategoriler | Her kural satırında kategori grubu ve yaptırım (IP Reputation Actions) |
| Eşleşmenin sonucu | 100 puanlık Blacklisted IP ihlali; Blocking modunda engelleme sayfası (Blocking Page) (varsayılan 418), Monitor modunda yalnızca kayıt | Satırdaki yaptırım: Quarantine, Block (varsayılan 403), Captcha, Tarpit, yönlendirme, içerik gösterme, Silent drop |
| İstisna | Frontend Blacklist Exclusions (istek WAF denetiminden geçmeye devam eder) | IP Reputation Whitelist Condition ve whitelist girişleri |
| Kayıt | WAF Event Logs | Bot/DDoS Event Logs |
| vService tipi | HTTP | HTTP ve L7 TCP |
Nasıl Çalışır?
- Liste oluşur: IP Intelligence & Reputation ekranında itibar veritabanı, harici kaynaklar ve Blacklist Content tek kara listede birleştirilir; Whitelist Content'teki adresler çıkarılır (nasıl çalışır). Whitelist Content'e eklenen adres bu yüzden bütün katmanlarda muaftır.
- WAF değerlendirir: WAF'ın denetimine giren istekte kaynak adres kara listede (Blacklist IP Category filtresine göre) ya da Frontend Blacklist'te ise ve Frontend Blacklist Exclusions'ta değilse 100 puanlık ihlal yazılır. Whitelist Condition'a uyan ya da statik içerik olduğu için denetime girmeyen istekler kara liste denetimine de girmez.
- Yaptırım: IP Reputation Protection Active ise ve kategori bir kural satırına uyuyorsa istemciye satırın yaptırımı döner. Yaptırım yoksa ve WAF host grubu Blocking modundaysa WAF'ın engelleme sayfası döner.
Kaynak adres, vService'e Trusted Proxies profili atanmışsa çözülen istemci adresidir; ikisi de aynı adresi görür (TR7 önünde CDN / proxy varsa WAF gerçek istemci IP'sini nasıl görür?).
TR7'de Hangi Katmanda Yaptırım?
- Yalnızca WAF açık: Kara liste WAF'ta uygulanır; host grubu Monitor modundaysa eşleşmeler yalnızca raporlanır. Kurulum: Kötü itibarlı IP'lerden gelen istekleri otomatik engelleyebilir miyim (Blacklist Protection)?
- İkisi birlikte açık: Varsayılanlarla ikisi de aynı listeyi uygular. Yaptırımın kategori bazında farklılaştırılması (ör. karantina, CAPTCHA) isteniyorsa IP Reputation Protection kural satırları düzenlenir; WAF'ın kara liste ihlalleri kayıtlarda görünmeye devam eder. WAF kayıtlarında bu ihlallerin görünmesi istenmiyorsa WAF'taki Blacklist Protection kaldırılabilir; o durumda vService'e özel Frontend Blacklist de değerlendirilmez.
- vService'e özel liste: Yalnızca bir vService için engellenecek adresler WAF'ın Frontend Blacklist alanına, bütün katmanlar için engellenecek adresler IP Intelligence & Reputation'daki Blacklist Content'e girilir (vService kara listesi ile IP intelligence listesi arasındaki fark nedir?).
- Güncellik: Listenin nasıl ve ne sıklıkla güncellendiği: Coğrafi konum ve IP itibar verisi nereden, hangi sıklıkla güncellenir?
- Load Balancer ve ağ katmanı: Bilinen kötü IP'leri (IP Reputation / blacklist kategorisi) engelleyebilir miyim?
Sık Karıştırılan Noktalar
- "WAF ve IP Reputation Protection ayrı itibar listesi tutar." İkisi de aynı cihaz geneli kara listeyi okur; liste IP Intelligence & Reputation ekranında yönetilir.
- "İkisi birden açıksa WAF kaydı oluşmaz." WAF taraması IP Reputation Protection'ın yaptırımından önce çalışır; WAF kaydı ve sayaçları oluşur, istemciye IP Reputation Protection'ın yanıtı gider.
- "Frontend Blacklist Exclusions WAF beyaz listesidir." Bu alan yalnızca kara liste eşleşmesini iptal eder; istek WAF denetiminden geçmeye devam eder. Denetimin tümüyle atlanması için Whitelist Condition kullanılır.
- "WAF Monitor modundayken kara listedeki adres engellenir." Monitor modunda eşleşme yalnızca raporlanır; engelleme Blocking modunda ya da IP Reputation Protection Active iken olur.
Dokümantasyonda nasıl yapılır
