How to Enable AGS?

AGS Etkinleştirmek Ne Demek?

TR7'de AGS, cihaz genelinde açılıp kapatılan tek bir anahtar değildir: her HTTP vService için ayrı ayrı etkinleştirilir. AGS açıldığı anda o vService'e gelen ve kimliği doğrulanmış bir oturum taşımayan istekler, Kurum Servisine iletilmek yerine vService'in AGS motoruna yönlendirilir; AGS kapalı vService'lerin trafiği bu denetime girmez.

Etkinleştirme boş bir yapılandırmayla başlamaz. TR7, vService için hazır Basic Login formuyla başlayan bir giriş akışı, hazır oturum koruma, hesap kilitleme ve bot koruma politikaları, varsayılan sayfa şablonu ve sözlükten oluşan bir AGS yapılandırmasını ve vService'e ait ayrı bir AGS motorunu kendiliğinden oluşturur. Varsayılan akışta Basic Login formunun çıkışı Deny adımına bağlıdır ve Allow adımına ulaşan bir yol bulunmadığından, akış düzenlenene kadar kullanıcıların Kurum Servisine ulaşması beklenmez.

vService

Etkinleştirme Birimi

AGS her vService için ayrı açılır ve ayrı bir AGS motoruyla çalışır

HTTP

Desteklenen Tip

Yalnızca HTTP tipindeki vService'lerde etkinleştirilir

Basic Login

Başlangıç Akışı

Standalone Application modunda, hazır formla başlayan akış

Kısıtlanır

Trafik Etkisi

Varsayılan akışta Allow adımına yol olmadığından akış düzenlenene kadar kullanıcılar Kurum Servisine ulaşmaz

AGS yalnızca HTTP vService'lerde etkinleştirilir

AGS yalnızca HTTP tipindeki vService'lerde açılır. L7 TCP ve Network (Layer 4) tipindeki vService'lerde AGS seçeneği ne listede ne de vService formunda görüntülenir; bu servislerin trafiği uygulama katmanında çözümlenmediği için giriş akışına yönlendirilemez.

İki Yol

AGS iki ayrı yerden açılır. İkisi de aynı sonucu üretir; hangisinin kullanılacağı kaç vService'in aynı anda kapsama alınacağına bağlıdır.

Yol	Nereden	Ne zaman tercih edilir
AGS-Enabled vService List	Configuration Menu → AGS	Var olan bir ya da birden çok vService topluca kapsama alınacaksa
vService formu	vService oluşturma veya düzenleme ekranı, Details listesi	Yeni bir vService kurulurken ya da tek bir servis düzenlenirken

Yol 1: AGS-Enabled vService List Üzerinden

Var olan bir ya da birden çok vService'te, aşağıdaki adımlar takip edilerek AGS topluca açılır.

1

Adım 1 AGS-Enabled vService List ekranına git

Sol altta bulunan TR7 logosuna tıklanarak Configuration Menu açılır ve AGS → AGS-Enabled vService List yolu izlenir (AGS sekmesinin üstündeki öne çıkan kart). Ekranın tamamı AGS-Enabled vService List sayfasında anlatılmıştır.

2

Adım 2 Ekleme sekmesini aç

Listenin üst kısmındaki Enable butonuna tıklanır; listenin yanında Add başlıklı yeni bir sekme açılır.

3

Adım 3 AGS açılacak vService'leri seç

HTTP vServices to Protect with AGS alanından AGS'nin açılacağı vService'ler seçilir. Alan, seçim yapılmadığında Nothing chosen yazar.

AGS Etkinleştirme

Seçilebilecek vService sayısı için bir üst sınır bulunmaz; onlarca servis tek işlemde kapsama alınabilir.

4

Adım 4 Onayla

Add butonuna tıklanarak seçim onaylanır. Seçilen vService'lerde AGS açılır ve vService'ler listede görünmeye başlar.

Hiçbir vService seçilmediği sürece alanın altında At least 1 must be selected uyarısı görüntülenir ve Add butonu pasif kalır; uyarı, sekme açılır açılmaz görünür. İşlem tamamlandığında sekme kendiliğinden kapanır ve liste görünümüne dönülür; sekme, başlığındaki kapatma simgesiyle de kapatılabilir. Sekme kapandığında yapılandırmanın vService'e uygulanması birkaç saniye sürebilir; bu sürede liste satırı geçici değerler gösterebilir (Kapsam ve Sınırlar).

Listede yalnızca AGS'si kapalı olanlar sunulur

HTTP vServices to Protect with AGS alanı, cihazdaki bütün vService'leri değil, yalnızca HTTP tipinde olan ve AGS'si henüz açılmamış olanları listeler. AGS'si açık bir vService bu listede görünmez; o servis listenin kendisinde yer alır. vService'in çalışır durumda olması gerekmez: durdurulmuş bir vService de listede sunulur ve AGS'si açılabilir.

Yol 2: vService Formu Üzerinden

AGS, bir vService'e aşağıdaki adımlar takip edilerek eklenir.

1

Adım 1 vServices ekranına git

TR7 web arayüzünden Load Balancer → Load Balancer vService List yolu izlenir.

2

Adım 2 vService'in düzenleme ekranını aç

AGS'nin ekleneceği vService'e sağ tıklayıp Edit seçilir; veya vService'in üzerine tıklanıp sağda açılan pencereden Edit ikonuna tıklanır.

AGS yeni bir vService kurulurken de eklenebilir; bu durumda aynı form vService oluşturma akışında açılır.

3

Adım 3 Details bölümünü aç

Formun sağ üst köşesindeki Details butonuna tıklanır; ekranın sağında gelişmiş yapılandırma listesi açılır.

4

Adım 4 AGS özelliğini etkinleştir

Sağda açılan Details listesinde, L7 DDoS & Threat Protection satırının hemen altındaki AGS kutusu işaretlenerek AGS devreye alınır.

vService Düzenleme Ekranında AGS Seçimi

Seçenek yalnızca HTTP tipindeki vService formunda bulunur. L7 TCP formunun listesinde WAF ve AGS yer almaz; Network (Layer 4) tipinde ise listede yalnızca Report ve LB Algorithm bulunur.

5

Adım 5 Kaydet

Save butonuna tıklanarak değişiklikler kaydedilir; yapılandırma vService'e uygulanır.

AGS kutusu ayrı bir ayar bölümü açmaz

AGS işaretlendiğinde listede genişleyen bir profil seçimi ya da ayar bölümü görüntülenmez. AGS yalnızca etkinleştirilir; giriş akışı ve bütün AGS ayarları vService kaydedildikten sonra AGS-Enabled vServices ekranının Flowchart ve AGS Management sekmelerinden yapılandırılır.

Aynı anahtar, vService ekranının Load Balancer Management sekmesindeki Security Modules bölümünün Edit penceresinde de bulunur.

Kutu yetkiye göre pasifleşmez

AGS kutusu kullanıcının yetkisine göre pasif görüntülenmez. Değişikliğin kaydedilmesi Load Balancer alanında değiştirme yetkisi gerektirir; yetkisi olmayan kullanıcının kaydı reddedilir.

vService formunun tamamı için HTTP (L7) vService sayfasına bakılabilir.

Etkinleştirildikten Sonra Ne Oluşur?

AGS açıldığında yalnızca bir işaret değişmez; vService'in yapılandırması yeniden üretilip uygulanır, AGS kaydı ve AGS motoru oluşturulur.

01Yapılandırma oluşturulurvService için AGS yapılandırması varsayılan akış, politika, şablon ve sözlük seçimleriyle yaratılır. vService'te daha önce AGS açılıp kapatılmışsa önceki yapılandırma aynen geri gelir.

02Trafik motoru yeniden yüklenirDeğişiklik normal koşullarda kesintisiz yeniden yükleme ile uygulanır. Bu andan itibaren kimliği doğrulanmamış istekler AGS motoruna yönlendirilir. Cluster kurulumunda otomatik eşitleme açıksa değişiklik eş cihaza da yayılır.

03AGS motoru başlatılırvService'e ait AGS motoru oluşturulup başlatılır. Motor hazır olana kadar AGS'ye yönlenen istekler Access Gateway is being prepared. Please try again shortly. metnini içeren HTTP 503 sayfasını alır.

04Giriş akışı devreye girerAkış Basic Login formu adımıyla başlar; Live Stats ve Dashboard verileri trafik aldıkça oluşur.

Oluşturulan varsayılanlar:

Ayar	Varsayılan değer	Anlamı
Gateway Mode	Standalone Application	vService, arkasındaki uygulamayı kendi giriş akışıyla korur (Standalone Application).
Giriş akışı	Start → Form (Basic Login) → Deny	Allow adımı oluşturulur ancak hiçbir adıma bağlanmaz.
Session Protection Policy	Standard Session Protection	IP adresine bağlama, 8 saat boşta kalma süresi, 7 gün mutlak süre.
Default Lockout Policies	Default Username Lockout, Default IP Lockout	Kullanıcı adı ve IP adresi bazında başarısız deneme sayımı ve kilitleme.
Bot Protection Policies	Standard Rate Limiting, Bot Score CAPTCHA Challenge, Bot Score Deny	AGS motoruna yönlenen isteklerde IP başına dakikada 300 ve üzeri istekte 429, bot skoru 60 ve üzerinde CAPTCHA, 85 ve üzerinde 403.
Dictionary / Page Template	Default Dictionary / Default Page Template	AGS sayfalarının metinleri ve görünümü.
AGS Root Path	/ags-portal	Giriş, doğrulama ve yardımcı sayfaların sunulduğu yol.
AGS Activation Condition	Tanımsız	vService'e gelen bütün istekler AGS kapsamındadır.
Cookie Domain / Cookie Name Prefix	Boş / Automatic	Oturum çerezi isteğin geldiği adres için geçerlidir; çerez adları AGS_ önekiyle oluşturulur.
Log Level	info	AGS motorunun çalışma loglarının ayrıntı düzeyi.
Backend SSO Config, Notification Profile, Audit Log Forwarders	Tanımsız	Kurum Servisine giriş bilgisi aktarılmaz, profil bildirimi ve denetim olayı iletimi yapılmaz.

Değerlerin tamamı Flowchart sekmesinin General Settings penceresinden ve AGS Management bölümlerinden değiştirilir. Bot skoruna dayalı politikalar vService'te Bot/DDoS Protection kapalı olsa da çalışır; bu durumda bot skoru yalnızca AGS politikaları için izleme amacıyla üretilir, Bot Protection açıksa aynı skor kullanılır.

AGS açıldığı anda Kurum Servisine erişim kısıtlanır

WAF'ın Learning başlangıcından farklı olarak AGS açıldığı anda devreye girer: kimliği doğrulanmış bir oturum taşımayan bütün istekler AGS motoruna yönlendirilir. Varsayılan akışta Basic Login formunun çıkışı Deny adımına bağlıdır ve Allow adımına ulaşan bir yol yoktur; akış düzenlenene kadar kullanıcıların Kurum Servisine ulaşması beklenmemelidir.

Bu nedenle canlı trafik taşıyan bir vService'te AGS, akışın hemen ardından tamamlanabileceği bir bakım zamanında açılmalı ya da önce trafik almayan bir vService'te denenmelidir. Akış ve AGS Activation Condition yalnızca AGS açıldıktan sonra düzenlenebilir.

Kurum Servisinde /ags-portal ile başlayan bir yol kullanılıyorsa bu yola AGS açıldıktan sonra ulaşılamaz; bu durumda AGS Root Path değeri değiştirilmelidir.

Bundan Sonra Ne Yapılmalı?

AGS'yi açmak sürecin başıdır. Önerilen sıra:

1. Kimlik kaynağı hazırlanır. Bir Authentication Providers profili oluşturulur; LDAP, HTTP ve RADIUS türleri için önce Authentication Servers, Local Database türü için Local Databases ekranında kayıt tanımlanır.
2. Akış tamamlanır. Flowchart sekmesinde Edit Mode'a geçilir ve Authentication Provider adımı eklenir. Formun çıkışı bu adıma, adımın SUCCESS çıkışı Allow'a, FAILURE çıkışı Deny'a bağlanır ve Save ile kaydedilir. Form adımının başarılı ya da başarısız doğrulamayı ayıran bir çıkışı yoktur; girilen kimlik bilgisinin doğrulanması için formun çıkışı doğrudan Allow'a bağlanmamalıdır.
3. Gerekirse MFA eklenir. Multi-Factor Authentication (MFA) profili akışa ikinci doğrulama adımı olarak yerleştirilir.
4. Politikalar gözden geçirilir. Oturum, kilitleme ve bot politikaları AGS Management sekmesinden kurumun gereksinimine göre değiştirilir; profiller Session Protection Policies, Account Lockout Policies ve Bot Protection Policies ekranlarında düzenlenir.
5. Kapsam ve entegrasyonlar belirlenir. AGS'nin yalnızca belirli isteklere uygulanması isteniyorsa AGS Activation Condition tanımlanır; Kurum Servisine tek oturumla geçiş için Backend SSO Configurations, giriş sayfalarının görünümü için Login Forms, Page Templates ve Dictionaries (Multilingual) kullanılır.
6. Çalışma doğrulanır. Engine sekmesinde motorun çalıştığı, Sessions ve Audit Logs sekmelerinde girişlerin beklendiği gibi oluştuğu kontrol edilir.

Akışın çalışma zamanındaki işleyişi Flowchart sayfasındadır.

AGS'nin Kaldırılması

AGS, etkinleştirmede olduğu gibi iki ayrı yerden kaldırılır.

Liste Üzerinden (Toplu)

AGS-Enabled vService List ekranından bir veya birden çok vService seçilip Disable butonuna tıklanır. Buton, listede seçim yapılmadığında pasiftir. Tek bir vService için satıra sağ tıklanıp Remove AGS Access seçilir.

Kaldırma işlemi onay penceresi göstermez

Disable ya da Remove AGS Access tıklandığı anda seçili vService'lerde AGS kalkar ve kullanıcılar Kurum Servisine kimlik doğrulaması yapılmadan ulaşmaya başlar. Bu nedenle seçim, işlemden önce doğrulanmalıdır.

vService Formu Üzerinden (Tek Servis)

Tek bir vService'in AGS'si, düzenleme formundan da kaldırılır: Details butonuna tıklanır, sağda açılan listede AGS kutusunun işareti kaldırılır ve Save ile kaydedilir. Aynı işlem vService ekranının Load Balancer Management sekmesindeki Security Modules bölümünün Edit penceresinde AGS anahtarı kapatılarak da yapılır.

Bu yol, tek bir servis için listede seçim yapıp toplu Disable kullanmaya göre daha güvenlidir; yanlışlıkla başka vService'lerin seçili kalması riski taşımaz. Kaldırma sonrası vService, AGS-Enabled vService List ekranındaki listeden düşer.

Yapılandırma silinmez, motor kaldırılır

AGS kaldırıldığında vService'in AGS yapılandırması (giriş akışı, gateway modu, politika, şablon ve sözlük seçimleri) silinmez; AGS yeniden açıldığında aynı yapılandırma geçerli olur. Yapılandırma yalnızca vService'in kendisi silindiğinde kaldırılır. vService'e ait AGS motoru ise AGS kaldırıldığında silinir.

Kapsam ve Sınırlar

INFO

• Etkinleştirme Load Balancer yetkisi gerektirir. Liste üzerinden yapılan işlem de vService formu üzerinden yapılan kayıt da Load Balancer alanında değiştirme yetkisi ister; WAF yetkisi AGS'yi açmaya yetmez. Yalnız okuma yetkisi olan kullanıcı listeyi görür, ancak AGS durumunu değiştiremez.
• Liste ekranındaki Enable, Disable ve Remove AGS Access işlemleri yetkiye göre gizlenmez. Yalnız okuma yetkili kullanıcı reddi ancak işlemi denedikten sonra öğrenir.
• Liste üzerinden yapılan etkinleştirme ve kaldırma denetim kaydına düşmez. vService formu üzerinden yapılan kayıt ise vService düzenleme kaydı olarak yazılır.
• Cluster kurulumunda otomatik eşitleme açıksa değişiklik eş cihaza da yayılır. Her cihaz vService için kendi AGS motorunu ve oturum deposunu çalıştırır.
• Her AGS etkin vService ayrı bir AGS motoru çalıştırır. Motorun bellek sınırı vService'in Memory Limit değerinin yarısıdır, Memory Limit seçilmemişse 1 GB'tır. Motor, vService durdurulmuş olsa da AGS açık kaldığı sürece çalışır; çok sayıda vService'te AGS açılırken cihaz kaynakları göz önünde bulundurulur.
• AGS açıldıktan hemen sonra liste satırındaki Gateway Mode hücresi kısa bir süre -, Actions hücresi Total of 0 görüntülenebilir; yapılandırma kaydı oluştuğunda değerler Standalone application ve Total of 3 olur.
• AGS Root Path altındaki istekler WAF denetimine alınmaz; akış adımları bu yol altında sunulduğundan giriş formu, OTP ve CAPTCHA gönderimleri WAF kurallarına ve öğrenmesine girmez. Diğer yollarda, AGS motoruna yönlenen kimliği doğrulanmamış istekler dahil, WAF normal çalışır.