Site WAF'ı açtıktan sonra çalışmıyor; ilk neyi kontrol etmeliyim?

Kısa cevap

Önce hatanın WAF'tan gelip gelmediği durum koduyla ayrılır (etkinleştirildikten sonra ne oluşur). İlk kez açılan WAF'ta host grubu Learning Mode'da başlar ve saldırı puanı hiçbir isteği engellemez. 418 ve engelleme sayfası görülüyorsa host grubu Blocking mode'dadır; bunun iki olası nedeni vardır: WAF bu vService'te daha önce açılıp kapatıldıysa host grupları kapatılmadan önceki modlarıyla, örneğin Blocking Mode'da geri gelir; WEB-CLI ile mod belirtilmeden eklenen grup Blocking mode'da başlar. Blocking mode'da Event Logs'ta kaydı olmayan 418'in en olası nedeni, isteğin WAF taramasının 2 saniyelik süre sınırı içinde tamamlanamamasıdır. 408 ya da yarıda kesilen yüklemeler, WAF açıkken istek gövdesinin beklenmesinden kaynaklanan HTTP Request Timeout'tur. Blocking Status Code değiştirilmediyse 403, CAPTCHA ya da yanıtsız kopan bağlantı başka bir koruma katmanına işaret eder. Sırasıyla WAF Management'taki mod kartına, Event Logs'a ve Debug Mode Logs kaydındaki Security Action değerine bakılır. Acil durumda host grubu Monitor Mode'a alınır ya da WAF, WAF-Protected vService List'teki Disable ile kaldırılır; kaldırma yapılandırmayı silmez.

Sorun: WAF Açılınca Site Bozuldu

WAF bir vService'te etkinleştirildikten hemen sonra sayfalar açılmıyor, formlar ya da dosya yüklemeleri başarısız oluyor, API çağrıları hata veriyor. Aynı vService'te WAF'la birlikte Bot/DDoS, Load Balancer aksiyonları ve AGS de çalışabildiği için önce hatayı hangi katmanın ürettiği belirlenir (WAF'ı açtığım anda trafik engellenmeye başlar mı?).

Olası Nedenler

Belirti	Olası neden	Nereye bakılır
418 ve engelleme sayfası; Event Logs'ta kayıt var	Host grubu Blocking Mode'da: WAF daha önce açılıp kapatıldığı için grup eski moduyla geri geldi ya da grup WEB-CLI ile mod belirtilmeden eklendi. Kaynak IP kara listedeyse de Blocking mode'da engellenir	Mod kartı; Event Logs → Attacks
418 ve engelleme sayfası; Event Logs'ta kayıt yok	Host grubu Blocking mode'da ve WAF taraması 2 saniyelik süre sınırı içinde tamamlanamadı (Fail-open kapalıyken, varsayılan)	Debug Mode Logs → Security Action
408 ya da yükleme yarıda kesiliyor	WAF açıkken istek gövdesi tampona alınarak beklenir; tampona alınan bölüm HTTP Request Timeout (varsayılan 30 sn) içinde gelmezse 408 döner	Debug Mode Logs → Termination State = During request · Client timeout
403, CAPTCHA ya da yanıtsız kopan bağlantı	WAF dışındaki bir katman (Bot/DDoS, Block aksiyonu, Quarantine, AGS)	Debug Mode Logs → Security Action; Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?

Kesin kurallar:

• vService'te WAF ilk kez açıldığında vService'in WAF ayarları varsayılanlarla oluşur ve host grubu Learning Mode'da başlar (Learning modunda WAF ne yapar; saldırılar engellenir mi?). Learning mode'da saldırı puanı ve kara liste isteği engellemez; Event Logs kaydı da üretilmez.
• WAF kaldırıldığında ayarlar ve host grupları silinmez; yeniden açıldığında gruplar kapatılmadan önceki modlarıyla çalışır (WAF korumasını kaldırırsam öğrenilen kurallar ve ayarlar silinir mi?).
• Arayüzden eklenen yeni host grubunda WAF Mode alanı vService'in varsayılan moduyla önseçili gelir; WEB-CLI'da waf host-groups add komutunda --mode yazılmazsa grup blocking ile oluşur.
• Tarama zaman aşımı yalnızca Blocking mode'da ve Fail-open kapalıyken engeller; Learning ve Monitor Mode'da taraması tamamlanamayan istek geçirilir (tek istisna, taramanın WAF kuralları yüklenirken ve host grubu belirlenmeden kesilmesidir: vService'te Blocking mode'da bir grup varsa bu istek engellenir (WAF Mode · Blocking Mode)). Engellenen istek Event Logs'a yazılmaz (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?).
• WAF açıkken ve Wait for body for a time seçili değilken (varsayılan) istek gövdesi tampona alınarak beklenir; bu bekleme HTTP Request Timeout süresine tabidir.

Nereden İzlenir?

Ekran	Yol	Ne gösterir
Mod kartı	Left Monitor Panel → WAF-Protected vServices → vService → WAF Management	Her host grubunun modu: "Learning mode — rules are not enforced yet", "Attacks are only monitored, not blocked", "Attacks are blocked"
Event Logs	Aynı vService'te Event Logs sekmesi	Monitor ve Blocking mode'da puanı eşiğe ulaşan ya da Monitor durumundaki bir imzayı tetikleyen istekler
Debug Mode Logs	Left Monitor Panel → Load Balancer vServices → vService → Logs & Tracking → Debug Mode Logs	Security action (isteği sonlandıran güvenlik özelliği ve kararı), Termination State, WAF kutusu
WAF Inspection Distribution	WAF-Protected vServices → vService → Dashboard	İsteklerin Whitelisted, Clean, Blocked, Monitor, Teacher ve Learning dağılımı

Nasıl Teşhis Edilir?

1. Kullanıcının gördüğü durum kodu ve sayfa belirlenir: 418 ve "Your Access To This Page Has Been Blocked!" sayfası WAF'ı (varsayılan Blocking Status Code), 408 gövde beklemesini, 403 / CAPTCHA / yanıtsız kopma başka bir katmanı gösterir (Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?).
2. Left Monitor Panel → WAF-Protected vServices → vService → WAF Management açılır ve mod kartlarına bakılır. Kart "Attacks are blocked" diyorsa kural kaynaklı engelleme beklenen davranıştır.
3. Aynı vService'in Event Logs sekmesi açılır. Kayıt varsa engeli veren kural Attacks sekmesinde okunur: Kullanıcılarım "418" hatası alıyor; ne oluyor?. Host grubu Learning mode'daysa ekranın boş olması normaldir.
4. Kayıt yoksa Load Balancer → Load Balancer vService List ekranında vService'in düzenleme formunda Status = Debug mode seçilip Save tıklanır, hata yeniden üretilir (Debug Mode ne kaydeder; ne kadar süre açık tutmalıyım?). Debug mode'u açmak Load Balancer alanında değiştirme, Debug Mode Logs'u görmek Load Balancer alanında izleme yetkisi ister; yalnız WAF yetkisi olan kullanıcıda bu ekranlar açılmaz (Logs & Tracking).
5. Left Monitor Panel → Load Balancer vServices → vService → Logs & Tracking → Debug Mode Logs açılır; Columns menüsünden Security Action ve Termination State kolonları eklenir. WAF · Attack blocked — scan timed out Blocking mode'daki tarama zaman aşımını (418 alan bir istek Event Logs'ta neden görünmüyor?), During request · Client timeout gövde beklemesini, Threat Protection · … Bot/DDoS kararını gösterir; Security Action - ise WAF ve Bot/DDoS isteği sonlandırmamıştır.
6. İnceleme bitince Status yeniden Enabled yapılıp kaydedilir.

Çözüm: Üç Yöntem

Yöntemler birbirinin alternatifidir. Yöntem 1 WAF denetimini sürdürür; Yöntem 2 WAF'ı vService'ten tamamen kaldırır.

Durumunuz	Uygun yöntem
Host grubu Blocking mode'da; öğrenme ya da Monitor mode'daki gözlem tamamlanmadı	Yöntem 1: Host grubunu Learning ya da Monitor mode'a almak
Trafiğin hemen ve tamamen açılması gerekiyor	Yöntem 2: WAF'ı vService'ten geçici olarak kaldırmak
Mod ya da WAF komut satırından değiştirilecek	Yöntem 3: WEB-CLI
Event Logs'ta kayıt yok; Debug Mode Logs tarama zaman aşımı gösteriyor	418 alan bir istek Event Logs'ta neden görünmüyor?
408 ya da yükleme yarıda kesiliyor	Büyük dosya yüklemeleri başarısız oluyor; neden? · Uzun süren işlemlerde (rapor, dosya yükleme) istek neden yarıda kesiliyor; hangi timeout'u artırmalıyım?
Belirli bir false positive engelleniyor	Kullanıcılarım "418" hatası alıyor; ne oluyor?

Yöntem 1: Host Grubunu Learning ya da Monitor Mode'a Almak Önerilen

• Nasıl çalışır Learning mode'da kurallar uygulanmaz ve istekler öğrenme günlüğüne yazılır; Monitor mode'da kurallar tam çalışır, eşiği aşan istekler engellenmeden Event Logs'a yazılır. İki modda da WAF isteği engellemez; saldırı puanı, kara liste ve tarama zaman aşımı kaynaklı engeller durur.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → mod kartı → Edit
• Gereksinim WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 WAF Management sekmesini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management açılır. Birden çok host grubu varsa her grubun ayrı mod kartı vardır; varsayılan grup en sonda yer alır.

2

Adım 2 Host grubu penceresini aç

Blocking mode'daki grubun mod kartında Edit tıklanır; host grubu penceresi açılır (WAF Mode Edit ekranı).

3

Adım 3 Modu seç

WAF Mode alanında öğrenme tamamlanmadıysa Learning mode, kurallar hazır ama engellemeye geçmeden önce sonuçları izlenecekse Monitor mode seçilir (Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?).

4

Adım 4 Kaydet

Penceredeki Edit tıklanır; mod ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile gönderilir. Farklı alan adları için gruplar ayrı modlarda tutulabilir: Aynı vService'te farklı domainler için farklı modlar kullanabilir miyim?

Doğrulama

1Mod kartıTR7 tarafı

WAF Management'taki mod kartının cümlesine bakılır.

BeklenenLearning mode — rules are not enforced yet

Monitor mode seçildiyse kart "Attacks are only monitored, not blocked" yazar.

2WAF Inspection DistributionTR7 tarafı

vService Dashboard'unda WAF Inspection Distribution paneline bakılır.

BeklenenBlocked serisi sıfıra iner

Yöntem 2: WAF'ı vService'ten Geçici Olarak Kaldırmak

• Nasıl çalışır vService'te WAF koruması kapatılır; istekler WAF denetiminden geçmeden Kurum Servisine gider. WAF ayarları, host grupları ve öğrenilen kurallar silinmez; WAF yeniden açıldığında aynı yapılandırmayla döner.
• Nerede açılır Configuration Menu → WAF → WAF-Protected vService List → Disable
• Gereksinim WAF değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Listeyi aç

Configuration Menu → WAF → WAF-Protected vService List açılır (nasıl erişilir).

2

Adım 2 vService'i seç

WAF'ı kaldırılacak vService'in satır başındaki kutu işaretlenir.

3

Adım 3 Disable'a tıkla

Araç çubuğundaki Disable tıklanır. Onay penceresi açılmaz; WAF seçilen vService'lerden hemen kaldırılır ve vService listeden düşer. Cluster kurulumunda değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile gönderilir. Ayrıntı: WAF korumasını bir vService'ten nasıl kaldırırım?

Koruma kalkar

WAF kaldırıldığı sürece vService'e gelen saldırılar denetlenmez. Neden bulunup giderildikten sonra aynı ekrandaki Enable ile WAF yeniden açılır; host grupları kapatılmadan önceki modlarıyla döner, Blocking mode'daki grup yeniden engellemeye başlar.

Doğrulama

1ListeTR7 tarafı

WAF-Protected vService List'e bakılır.

BeklenenvService listede yok

Hata sürüyorsa WAF'ın kaynağı olmadığı kesinleşir; diğer katmanlar incelenir.

Yöntem 3: WEB-CLI

• Nasıl çalışır Yöntem 1 ve Yöntem 2'deki değişiklikler WEB-CLI komutlarıyla yapılır.
• Nerede açılır WEB-CLI → waf host-groups · lb service
• Gereksinim WEB-CLI erişimi; host grubu için WAF, WAF'ı kaldırmak için Load Balancer değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Host gruplarını ve modlarını gör

id alanı host grubunun adını değil kimliğini alır; kimlik ve mod listeden okunur (waf host-groups):

waf host-groups list poolId <vService>

2

Adım 2 Host grubunu Learning ya da Monitor mode'a al

<grup-kimliği> yerine 1. adımdaki kimlik yazılır; Monitor mode için learning yerine monitor yazılır:

waf host-groups update poolId <vService> id <grup-kimliği> --mode learning

3

Adım 3 WAF'ı kaldır (gerekiyorsa)

lb service update id <vService> --waf false

WAF --waf true ile yeniden açılır.

Doğrulama

1KayıtTR7 tarafı

Host grubu kaydı yeniden görüntülenir.

Komut: waf host-groups show poolId <vService> <grup-kimliği>

Beklenenmode learning

Sık Yapılan Hatalar

• Daha önce açılıp kapatılmış WAF'ı yeni açılmış sanmak. Host grupları kapatılmadan önceki modlarıyla geri gelir; açtıktan sonra ilk iş mod kartına bakmaktır (WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?).
• WEB-CLI ile grubu --mode yazmadan eklemek. Grup Blocking mode'da başlar ve henüz öğrenilmemiş trafiği engelleyebilir.
• Her hatayı WAF'a bağlamak. 403, CAPTCHA ya da yanıtsız kopma başka bir katmana işaret eder. Debug Mode Logs'taki Security Action isteği WAF'ın mı yoksa Bot/DDoS'un mu sonlandırdığını gösterir; ikisi de sonlandırmadıysa - kalır (Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?).
• Learning mode'da Event Logs'ta kayıt aramak. Learning mode'da Event Logs kaydı oluşmaz; istekler Dashboard'daki Learning serisinde sayılır.
• Debug mode'u açık unutmak. Debug mode her isteği ayrıntılı kaydeder; inceleme bitince Status yeniden Enabled yapılır.

Dokümantasyonda nasıl yapılır

• WAF'ı etkinleştirme · Etkinleştirildikten sonra ne oluşur
• WAF Mode · Modların çalışma anı davranışı
• WAF-Protected vService List · Disable
• Debug Logs · Termination state değerleri
• Debug Logs · Summary sekmesi

İlgili sorular

• WAF'ı açtığım anda trafik engellenmeye başlar mı?
• WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?
• Learning veya Monitor modundayken de bir istek 418 ile engellenebilir mi?
• Kullanıcılarım "418" hatası alıyor; ne oluyor?
• Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?