Aynı vService'te farklı domainler için farklı modlar kullanabilir miyim?

Kısa cevap

Evet. Mod Virtual Host Group'a atandığı için alan adları ayrı Virtual Host Group'lara ayrılır ve her grup kendi WAF Mode değeriyle çalışır; örneğin api.example.com Blocking modundayken beta.example.com Learning modunda kalabilir. Grup, WAF Management sekmesindeki Virtual Host Groups bandının artı (+) ikonuyla eklenir; Virtual Host Patterns alanına isteğin Host başlığıyla birebir karşılaştırılan alan adı desenleri, WAF mode alanına mod girilir. Hiçbir desene uymayan istekler ile Host başlığı taşımayan istekler varsayılan gruba düşer ve onun modunu kullanır. Her grubun kendi Page Type'ları vardır ve yeni grup diğer grupların öğrendiklerini devralmaz; OWASP Protection Level, Whitelist & Blacklist, Blocking Page ve Learning Methods ayarları ise vService genelinde ortaktır.

Sorun: Aynı vService'teki Alan Adları Farklı Olgunlukta

Aynı vService'te yayında olan bir alan adı Blocking Mode'da korunurken yeni ya da değişen bir alan adının hâlâ öğrenilmesi gerekebilir. Bütün vService tek grupta çalışırsa ya yeni alan adının meşru istekleri engellenir ya da öğrenme için bütün trafik Learning Mode'a alınıp korumasız kalır.

Çözüm: İki Yöntem

Yeni alan adı için ayrı bir Virtual Host Group eklenir; iki yöntem aynı sonucu verir.

Durumunuz	Uygun yöntem
Alan adı için henüz grup yok; arayüzden eklemek istiyorum	Yöntem 1: Virtual Host Groups bandı
Komut satırından	Yöntem 2: WEB-CLI
Grup zaten var, yalnızca modu değişecek	Grubun mod kartından değiştirilir: Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?

Yöntem 1: Virtual Host Groups Bandı Önerilen

• Nasıl çalışır Alan adı desenleri ve kendi modu olan yeni bir Virtual Host Group eklenir; desene uyan istekler bu grubun moduyla ve Page Type'larıyla işlenir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Virtual Host Groups bandı → artı (+) ikonu
• Gereksinim WAF'ın vService'te açık olması (Bir vService'te WAF korumasını nasıl etkinleştiririm?) · WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 vService'in WAF Management sekmesini aç

Left Monitor Panel'de WAF-Protected vServices kategorisi seçilir, vService'e tıklanır ve WAF Management sekmesi açılır (ekrana erişim).

2

Adım 2 Grup ekleme penceresini aç

Sekmenin altındaki Virtual Host Groups bandında artı (+) ikonu tıklanır; Add başlıklı pencere açılır (host grubu ekleme).

3

Adım 3 Grubun adını gir

Virtual Host Group Name alanına grubun adı yazılır (ör. beta); alan zorunludur.

4

Adım 4 Modu seç

WAF Mode alanında Learning mode, Monitor mode ya da Blocking mode seçilir. Alan, vService'in WAF ayarlarındaki varsayılan modla önseçili gelir; WAF açıldığında bu değer Learning mode'dur.

5

Adım 5 Alan adı desenlerini gir

Virtual Host Patterns alanına en az bir desen yazılır (ör. beta.example.com); başka desen için alanın altındaki + Add bağlantısı kullanılır. Desen, isteğin Host başlığıyla olduğu gibi karşılaştırılır: büyük/küçük harf ve port farkı eşleşmeyi bozar. * herhangi bir karakter dizisini karşılar (ör. *.example.com). Standart dışı port kullanılıyorsa desene port da yazılır (ör. beta.example.com:8443). Boş bırakılan desen alanı Correct invalid inputs uyarısıyla reddedilir.

6

Adım 6 Kaydet

Penceredeki Add butonu tıklanır; ek bir onay penceresi yoktur ve değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Yeni grup varsayılan kural seti (Any Paths) ve hazır header denetimleriyle oluşturulur; diğer grupların öğrenilmiş Page type'ları kopyalanmaz. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Mod kartlarıTR7 tarafı

WAF Management'ta her grubun ayrı mod kartına ve Virtual Host Groups bandındaki özet cümlesine bakılır.

BeklenenRequests are evaluated in 2 host groups, each with its own WAF mode — …

2Grup eşleşmesiTR7 tarafı

Yeni gruba Learning mode verildiyse, desene uyan alan adına yapılan istekler Dashboard'daki WAF Inspection Distribution panelinde Learning serisinde sayılır; diğer alan adının istekleri kendi grubunun moduna göre sayılmaya devam eder.

BeklenenLearning serisi artar

İstek varsayılan gruba düşüyorsa desenin Host başlığıyla (harf, port) birebir uyduğu kontrol edilir.

Yöntem 2: WEB-CLI

• Nasıl çalışır Virtual Host Group WEB-CLI komutuyla eklenir; modu sonradan aynı komut grubuyla değiştirilir.
• Nerede açılır WEB-CLI → waf host-groups
• Gereksinim WEB-CLI erişimi · WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Grubu ekle

Ad, mod ve desen birlikte yazılır (isteğe bağlı alanlar). --mode yazılmazsa grup blocking moduyla oluşur. WEB-CLI'da joker yalnızca baştaki *. biçiminde geçerlidir ve tek tırnakla yazılır ('*.example.com'):

waf host-groups add poolId <vService> name beta --mode learning --hosts.0 beta.example.com

Komut başarılı olduğunda çıktı vermez.

2

Adım 2 Grubun kimliğini al

Grup ve kimliği listede görülür:

waf host-groups list poolId <vService>

3

Adım 3 Öğrenme bitince modu değiştir

<kimlik> yerine 2. adımdaki kimlik yazılır:

waf host-groups update poolId <vService> id <kimlik> --mode blocking

Doğrulama

1Grup kaydıTR7 tarafı

Grubun kaydı görüntülenir.

Komut: waf host-groups show poolId <vService> <kimlik>

Beklenenmode ve hosts satırlarında girilen değerler

WAF Management'ta grubun ayrı bir mod kartı görünür.

Sık Yapılan Hatalar

• Deseni portsuz yazıp standart dışı port kullanmak. Host başlığındaki port desenle karşılaştırılır; beta.example.com deseni beta.example.com:8443 başlığını karşılamaz ve istek varsayılan gruba düşer (Virtual Host Patterns).
• İki grupta çakışan desen tanımlamak. Çakışma engellenmez; istek tanım sırasıyla ilk eşleşen gruba düşer ve diğer grubun modu o alan adına hiç uygulanmaz.
• OWASP protection level'ın da grup başına ayarlandığını sanmak. OWASP Protection Level vService geneldir (Koruma düzeyini her domain / host group için ayrı ayarlayabilir miyim?).
• Yeni grubun mevcut kuralları devraldığını sanmak. Yeni grup varsayılan kural setiyle başlar ve kendi öğrenme sürecini yaşar; Learning modunda bırakılıp Analysis & Learning ile öğretilir.
• WEB-CLI'da --mode yazmadan grup eklemek. Grup blocking moduyla oluşur ve henüz öğrenilmemiş alan adının meşru istekleri engellenebilir.

Dokümantasyonda nasıl yapılır

• Virtual Host Groups · Virtual Host Groups nedir
• Virtual Host Groups · Host grubu ekleme ve düzenleme
• Virtual Host Groups · Virtual Host Patterns
• WEB-CLI · waf host-groups isteğe bağlı alanlar

İlgili sorular

• Koruma düzeyini her domain / host group için ayrı ayarlayabilir miyim?
• Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
• Host Group nasıl eklenir; Virtual Host Patterns alanına ne yazılır?