Gateway Mode

Gateway Mode, Kurum Servislerinin ağ geçidinin TR7 olduğu yerleşimdir (sunucunun varsayılan ağ geçidi TR7'deki bir adres; Kurum Servisinde SNAT alanı Use Client IP). TR7 sunucuya kendi adresiyle değil, istemcinin gerçek IP adresiyle bağlanır; sunucunun yanıtı ağ geçidi üzerinden yine TR7'ye döner.

Sunucu, karşısında yük dengeleyiciyi değil istemcinin kendisini görür: loglar, erişim listeleri ve IP tabanlı kurallar uygulamada hiçbir değişiklik gerekmeden gerçek adresle çalışır. İstemci adresini bir başlıkla taşımanın mümkün olmadığı ve Proxy Protocol'ü desteklemeyen TCP uygulamalarında bile kaynak adres uçtan uca korunur. İstek de yanıt da TR7'nin üzerinden geçtiği için bu yerleşim sektörde inline ya da transparent yerleşim olarak da anılır.

Bu sayfa ağ yerleşimini anlatır

AGS modülündeki Gateway Mode alanı farklı bir kavramdır: bir vService'in erişim kapısı olarak çalışma modunu (Standalone Application, Portal, Portal Application) belirler. Ayrıntısı için bkz. AGS - AAM › Flowchart.

HTTP mi, TCP mi?

HTTP vService'lerde istemci adresinin Kurum Servisine iletilmesi için öncelikle X-Forwarded-For başlığı, HTTP ve L7 TCP vService'lerde Kurum Servisinin desteklediği durumda Proxy Protocol kullanılmalıdır; bu iki yöntem ağ tasarımına dokunmadan istemci adresini sunucuya iletir. Gateway Mode daha çok L7 TCP vService'lerde, yani istemci adresinin başlıkla taşınamadığı ve uygulamanın Proxy Protocol'ü desteklemediği durumlarda tercih edilir.

Gerçek IP

Kaynak adres korunur

Sunucu, bağlantının kaynağı olarak istemcinin kendi IP adresini görür

Ağ Geçidi

Dönüş yolu TR7

Sunucunun varsayılan ağ geçidi TR7'dir; başka ağlardaki istemcilere giden yanıt TR7 üzerinden döner

HTTP ve TCP

Başlık gerekmez

HTTP ve L7 TCP vService'lerde istemci adresi bağlantının kendisinde taşınır

Sunucuda Tek Değişiklik

Yalnızca varsayılan ağ geçidi

Sunucuda yalnızca varsayılan ağ geçidi TR7 yapılır; uygulamanın kendisi değişmez

Denetimli Çıkış

Sunucunun dış erişimi

Sunucunun diğer ağlara erişimi TR7 güvenlik duvarındaki kurallarla açılır

Cluster

Ağ geçidi diğer cihaza geçer

Ağ geçidi adresi VIP olarak tanımlandığında adres, cihaz arızasında diğer cihaza geçer

Gateway Mode

Şema trafiğin akışını gösterir: istemcinin bağlandığı VIP, TR7 ve Kurum Servisi aynı arayüzde (şemada 1G-1) ve aynı ağdadır; istemci ise başka bir ağdan gelir (şemada x.x.x.x). Kurum Servisinin varsayılan ağ geçidi TR7'nin bu ağdaki VIP adresidir (172.16.102.92).

Şemadaki örnekte TR7, Kurum Servisine kendi adresiyle değil istemcinin adresiyle (x.x.x.x) bağlanır; hangi cihaz etkin olursa olsun Kurum Servisi bağlantının kaynağı olarak istemcinin adresini görür. Kurum Servisi yanıtı istemcinin adresine gönderir; bu adres kendi ağında olmadığı için paket ağ geçidine, yani TR7'ye ulaşır. Sağlık denetimi istemci adresiyle değil, Kurum Servisinin route tablosundaki TR7 adresiyle yapılır: şemadaki örnekte etkin cihaz 172.16.102.90, diğer cihaz 172.16.102.91 adresini kullanır. Bu, Kurum Servisinde Health Check Source IP alanı varsayılan değerindeyken geçerlidir; alanda başka bir adres seçildiğinde denetim o adresten yapılır.

Şemadaki örnekte bağlantının dört adımında paketlerin kaynak ve hedef bilgileri şöyledir:

Adım	Yön	Kaynak IP	Kaynak Port	Hedef IP	Hedef Port
1	İstemci → TR7	x.x.x.x (İstemci IP)	Rastgele	172.16.102.92 (VIP)	443
2	TR7 → Kurum Servisi	x.x.x.x (İstemci IP)	Rastgele	172.16.102.161	8080
3	Kurum Servisi → TR7	172.16.102.161	8080	x.x.x.x (İstemci IP), ağ geçidi 172.16.102.92 üzerinden	2. adımın kaynak portu
4	TR7 → İstemci	172.16.102.92 (VIP)	443	x.x.x.x (İstemci IP)	1. adımın kaynak portu

Renk	Anlamı
	İstek
	Yanıt

2. adımda paketin kaynağı TR7'nin değil istemcinin adresidir; 3. adımda Kurum Servisi yanıtı bu adrese gönderir ve paket ağ geçidi olan TR7'ye teslim edilir. VIP diğer cihaza geçtiğinde ağ geçidi adresi de onunla geçer; tablodaki adresler değişmez.

Neden Gateway Mode?

Kaynak adres çevirili yerleşimler	Gateway Mode ile
Sunucu, bağlantının kaynağı olarak TR7'nin adresini görür.	Sunucu, bağlantının kaynağı olarak gerçek istemci IP adresini görür.
İstemci adresi bir başlıkla ya da Proxy Protocol ile taşınır; uygulamanın bunu okuması gerekir.	Adres bağlantının kendisinde taşınır; uygulamada ek ayar gerekmez, sunucuda yalnızca ağ geçidi TR7 yapılır.
Başlık taşıyamayan TCP uygulamalarında istemci adresi, yalnızca uygulama Proxy Protocol'ü destekliyorsa sunucuya ulaşır.	HTTP ve L7 TCP vService'lerde uygulama protokolü ne olursa olsun kaynak adres korunur.
Sunucudaki IP tabanlı erişim listeleri ve hız sınırları tek bir adresi, TR7'yi görür.	Sunucudaki IP tabanlı kurallar her istemciyi ayrı ayrı tanır.

Trafik Nasıl Akar?

İstemciUygulamaya vService adresinden erişir

İstekvService adresineYanıtvService adresinden

TR7Sunucuların ağ geçidiTLSBot/DDoSLBWAFAGSWAF ve AGS yalnızca HTTP vService'te

İstekİstemcinin adresiyleYanıtAğ geçidine, yani TR7'ye

Kurum ServisiKaynak olarak istemciyi görür

1. İstek gelirİstemci, uygulamanın yayımlandığı vService adresine bağlanır.
2. TR7 denetlerTLS sonlandırma, Bot/DDoS ve kurallar aynı noktada uygulanır; HTTP vService'lerde WAF ve AGS de bu noktadadır.
3. İstemci adına iletirTR7 seçilen Kurum Servisine, kaynak adres olarak istemcinin IP adresini kullanarak bağlanır.
4. Yanıt dönerKurum Servisi yanıtı istemci adresine gönderir; paket ağ geçidi olan TR7'ye ulaşır ve TR7 yanıtı istemciye iletir.

İstekYanıt

İstemci adresi korunurken TR7'nin yeteneklerinden vazgeçilmez: bağlantı yine TR7'de sonlanır, istek ve yanıt aynı cihazdan geçer, vService tipinin sunduğu denetim ve dağıtım özellikleri kullanılmaya devam eder.

Öne Çıkanlar

Uçtan uca gerçek istemci adresiKurum Servisinin loglarında, erişim denetimlerinde ve hız sınırlarında istemcinin kendi IP adresi görünür.

Başlığa bağımlı değilX-Forwarded-For yalnızca HTTP'de çalışır; Gateway Mode istemci adresini bağlantı düzeyinde korur ve L7 TCP vService'lerde de geçerlidir.

Uygulama kodu değişmezSunucu tarafındaki tek değişiklik varsayılan ağ geçididir. Uygulamanın başlık okuması ya da Proxy Protocol'ü desteklemesi gerekmez; eski ve kapalı kaynaklı yazılımlar olduğu gibi çalışır.

Dönüş yolu ağ geçidiyle sağlanırSunucunun varsayılan ağ geçidi TR7 olduğu için başka ağlardaki istemcilere giden yanıt paketleri TR7'ye döner; bağlantı her iki yönde TR7'den geçer.

Sunucu çıkışı da denetim altındaSunucunun güncelleme ya da başka ağlara erişim trafiği de TR7'den geçer; bu geçiş varsayılan olarak kapalıdır ve güvenlik duvarında tanımlanan FORWARD kurallarıyla açılır.

Servis bazında seçilirKaynak adres davranışı Kurum Servisi başına belirlenir; aynı TR7 üzerinde bir servis Gateway Mode ile, bir diğeri kaynak adres çevirisiyle çalışır.

Güvenlik katmanları yerindeL7 TCP vService'lerde Bot/DDoS, HTTP vService'lerde buna ek olarak WAF ve AGS aynı vService üzerinde açılır.

Cluster ile yüksek erişilebilirlikSunucuların ağ geçidi olarak bir VIP adresi kullanılır; bir cihaz devre dışı kaldığında ağ geçidi adresi diğer cihaza geçer.

Ne Zaman Tercih Edilir?

HTTP dışı uygulamalar TCP servisleri

İstemci adresini başlıkla taşımanın mümkün olmadığı ve Proxy Protocol'ü desteklemeyen TCP uygulamalarında sunucu, bağlantının gerçek kaynağını görmeye devam eder.

Kayıt ve denetim gereksinimleri Gerçek adres

Sunucu loglarında ve uygulama kayıtlarında gerçek istemci IP adresinin bulunması gerekiyorsa adres, ek bir alan ya da başlık olmadan doğrudan kaydedilir.

Değiştirilemeyen uygulamalar Uyumluluk

IP tabanlı yetkilendirme yapan ya da yapılandırması değiştirilemeyen uygulamalar, yük dengeleyicinin arkasına alındığında da aynı biçimde çalışır.

Bu yerleşimin gerektirdikleri

• İstemci başka bir ağda olmalıdır: sunucu yanıtı yalnızca kendi ağı dışındaki adresler için ağ geçidine gönderir. Sunucuyla aynı ağdaki istemcilerin yanıtı TR7'ye dönmez.
• Sunucunun bütün ağ dışı trafiği TR7'den geçer: sunucunun kendi başlattığı bağlantılar ve sunucuya başka ağlardan doğrudan yapılan erişimlerin (yönetim, izleme, yedekleme) yanıtları da TR7'ye ulaşır. Bu geçiş TR7'nin güvenlik duvarında varsayılan olarak kapalıdır; devreye almadan önce bu trafik için kurallar planlanmalıdır.

Sunucunun ağ geçidi değiştirilemiyorsa

Bu yerleşim, Kurum Servisinin varsayılan ağ geçidinin TR7 olmasına dayanır. Sunucu tarafında ağ geçidinin değiştirilmesi istenmiyorsa aynı sonuç Gateway Mode - Spoofing ile, sunucuya dokunulmadan elde edilir.

İlgili Sayfalar

Gateway Mode - Spoofing

Sunucunun ağ geçidi değiştirilmeden istemci adresinin korunması.

→

Backend Services

Kaynak adres seçimi: SNAT alanı ve Use Client IP seçeneği.

→

Firewall

Sunucunun diğer ağlara erişimi için geçiş (FORWARD) kuralları.

→

Interfaces

Ağ geçidi olarak kullanılacak Interface IP ve VIP adresleri.

→