Inline Mode

Inline Mode, TR7'nin trafik yoluna bir köprü olarak yerleştiği yerleşimdir (TR7'de iki arayüzü birleştiren bir Bridge arayüzü; vService'te QOS altında Inline Mode; Kurum Servisinde SNAT alanı Use Client IP ve Spoofing açık). İstemci, uygulamaya her zamanki gibi sunucunun kendi adresinden erişmeye devam eder; TR7 bu trafiği yolda karşılar, denetler ve sunucuya istemcinin gerçek IP adresiyle iletir.

Uygulamanın adresi, DNS kaydı ve sunucunun ağ geçidi ayarı aynı kalır; istemci ve sunucu tarafında bir ayar değişmez. Yük dengeleme ve güvenlik katmanları, çalışan bir uygulamanın önüne uygulama adresine dokunulmadan eklenir.

Diğer üreticilerdeki adı

Bu yerleşim sektörde çoğunlukla bridge mode adıyla anılır. Inline ve transparent adları sektörde, istemci adresini koruyan ve trafik yolunun üzerinde çalışan Gateway Mode ve Route Mode gibi yerleşimler için de kullanılır. Inline Mode'u bunlardan ayıran, istemcinin sunucunun kendi adresine bağlanması ve TR7'nin araya köprü olarak girmesidir. TR7 arayüzünde ayarın adı Inline Mode'dur ve bu dokümanda o adla geçer.

Köprü

Trafik yolunun üzerinde

TR7, iki arayüzü birleştiren Bridge arayüzüyle istemci ile sunucunun arasına girer

Adres Aynı

DNS ve uygulama adresi korunur

İstemci sunucunun kendi adresine bağlanır; uygulama adresi ve DNS kaydı değişmez

Gerçek IP

Kaynak adres korunur

Sunucu, bağlantının kaynağı olarak istemcinin kendi IP adresini görür

Tam Denetim

Bağlantı TR7'de sonlanır

Trafik yalnızca geçmez; TR7'de açılır, denetlenir ve yeniden kurulur

Otomatik Kural

Inline Mode anahtarı

Sunucuya giden trafiği vService'e alan kural, anahtar açıldığında otomatik üretilir

Seçerek

Yalnızca ilgili servis

Yalnızca tanımlanan Kurum Servislerinin trafiği vService'e alınır

Inline Mode

Şema tek cihazlı bir kurulumda trafiğin akışını gösterir: TR7, iki arayüzünü (şemada 1G-1 ve 1G-2) birleştiren Bridge arayüzüyle ağ geçidi ile Kurum Servisinin arasına yerleşir; köprünün iki yanı da aynı ağdır (şemada VLAN_10) ve köprü arayüzü ile Kurum Servisi aynı route tablosundadır (şemada Inline). İstemci başka bir ağdan gelir ve isteği vService adresine değil, Kurum Servisinin kendi adresine yapar (http://172.16.10.50/).

Şemadaki örnekte Kurum Servisinin adresine ve portuna (172.16.10.50:80) giden bağlantı, Inline Mode ile TR7 üzerindeki vService'e alınır; HTTP vService'te Bot/DDoS, WAF ve AGS bu noktada uygulanır. TR7, Kurum Servisine istemcinin adresiyle (192.168.50.10) bağlanır. Kurum Servisi yanıtı istemcinin adresine, kendi ağ geçidi (172.16.10.1) üzerinden göndermek üzere yola çıkarır; Spoofing açık olduğu için paketi TR7 karşılar ve yanıtı istemciye Kurum Servisinin adresinden iletir.

Sağlık denetimi istemci adresiyle değil, Kurum Servisinin route tablosundaki TR7 adresiyle yapılır. Bu, Kurum Servisinde Health Check Source IP alanı varsayılan değerindeyken geçerlidir; alanda başka bir adres seçildiğinde denetim o adresten yapılır.

Şemadaki örnekte bağlantının dört adımında paketlerin kaynak ve hedef bilgileri şöyledir:

Adım	Yön	Kaynak IP	Kaynak Port	Hedef IP	Hedef Port
1	İstemci → Kurum Servisi (TR7 yolda karşılar)	192.168.50.10 (İstemci IP)	Rastgele	172.16.10.50 (Kurum Servisinin adresi); bağlantı Inline Mode ile vService'e alınır	80
2	TR7 → Kurum Servisi (istemcinin adresiyle)	192.168.50.10 (İstemci IP)	Rastgele	172.16.10.50	80
3	Kurum Servisi → İstemci (TR7 yolda karşılar)	172.16.10.50	80	192.168.50.10 (İstemci IP); sunucunun ağ geçidi 172.16.10.1, paketi Spoofing ile TR7 karşılar	2. adımın kaynak portu
4	TR7 → İstemci (Kurum Servisinin adresiyle)	172.16.10.50 (Kurum Servisinin adresi)	80	192.168.50.10 (İstemci IP)	1. adımın kaynak portu

Renk	Anlamı
	İstek
	Yanıt

İstemcinin gördüğü adresler baştan sona Kurum Servisinin adresidir (1. ve 4. adım); Kurum Servisinin gördüğü adres de istemcinin adresidir (2. ve 3. adım). Arada bağlantıyı sonlandıran ve denetleyen TR7, iki taraf için de adres olarak görünmez.

Neden Inline Mode?

Adres üzerinden yayın	Inline Mode ile
Uygulama TR7 üzerindeki vService adresinden yayımlanır; istemciler yeni adrese yönlendirilir.	İstemciler bildikleri adrese, sunucunun kendi adresine bağlanmaya devam eder.
DNS kaydı, güvenlik duvarı kuralları ve istemci ayarları yeni adrese göre güncellenir.	DNS kaydı ve istemci ayarları olduğu gibi kalır.
Devreye alma, adres değişikliğinin bütün istemcilere yayılmasını bekler.	Yayılması beklenen bir adres değişikliği yoktur; TR7 trafik yoluna yerleştirildiğinde devreye girer.
İstemci adresini korumak için sunucunun ağ geçidi değiştirilir ya da Spoofing kullanılır.	Sunucu istemcinin adresini görür; ağ geçidi ayarına dokunulmaz.

Trafik Nasıl Akar?

İstemciBildiği adrese bağlanmaya devam eder

İstekSunucunun kendi adresineYanıtSunucunun adresinden

TR7Köprü olarak araya girerTLSBot/DDoSLBWAFAGSWAF ve AGS yalnızca HTTP vService'te

İstekİstemcinin adresiyleYanıtKöprü üzerinden TR7'ye

Kurum ServisiAdresi ve ağ geçidi aynı kalır

1. İstek yola çıkarİstemci, uygulamaya sunucunun kendi adresinden bağlanır; vService adresini bilmesi gerekmez.
2. TR7 yolda karşılarKurum Servisinin adres ve portuna giden TCP bağlantısı köprüde vService'e alınır; Bot/DDoS ve kurallar, HTTP vService'lerde WAF ve AGS uygulanır.
3. İstemci adına iletirTR7 Kurum Servisine, kaynak adres olarak istemcinin IP adresini kullanarak bağlanır.
4. Yanıt dönerKurum Servisinin yanıtı Spoofing sayesinde TR7'ye ulaşır; TR7 yanıtı istemciye sunucunun adresinden iletir.

İstekYanıt

Köprü yalnızca bir geçit değildir: Kurum Servisine giden bağlantı TR7'de sonlanır ve vService'in sunduğu bütün denetimlerden geçer. İstemci ve sunucu tarafında bir ayar değişmez; değişen, aradaki yolun artık denetimli olmasıdır.

Öne Çıkanlar

Uygulama adresi değişmezİstemciler sunucunun kendi adresini kullanmayı sürdürür; DNS kaydı, yer imleri ve sabit adresle çalışan istemciler etkilenmez.

Uçtan uca gerçek istemci adresiKurum Servisinin loglarında, erişim denetimlerinde ve hız sınırlarında istemcinin kendi IP adresi görünür.

Sunucuda ayar değişikliği yokSunucunun adresi ve ağ geçidi ayarı aynı kalır; trafiğin TR7'ye gelmesini TR7, Spoofing ile kendisi sağlar.

Kural kendiliğinden üretilirvService'te Inline Mode açıldığında, Kurum Servisine giden trafiği vService'e alan güvenlik duvarı kuralı her servis için otomatik oluşturulur.

Geçirmez, denetlerBağlantı TR7'de sonlandığı için yük dengeleme, TLS sonlandırma ve Bot/DDoS, HTTP vService'lerde buna ek olarak WAF ve AGS kullanılır.

Yalnızca ilgili trafik alınırvService'e yalnızca tanımlanan Kurum Servislerinin adres ve portuna giden TCP bağlantıları alınır; sunucunun diğer trafiği TR7 güvenlik duvarındaki geçiş kurallarıyla yönetilir.

Geçiş trafiği kurallarla açılırSunucunun vService'e alınmayan trafiği, TR7 güvenlik duvarında tanımlanan geçiş kurallarıyla izinlendirilir; araya giren cihaz aynı zamanda bir denetim noktasıdır.

Aynı route tablosundaKöprü arayüzü ve Kurum Servisi aynı route tablosunda tanımlanır; ayrı bir route tablosu kullanıldığında yerleşim cihazdaki diğer ağlardan ayrı tutulur.

Ne Zaman Tercih Edilir?

Adresi değiştirilemeyen uygulamalar Aynı adres

İstemcilerin sabit bir IP adresiyle eriştiği, DNS ya da istemci ayarı değiştirilemeyen uygulamalar adresleri korunarak denetim altına alınır.

Çalışan uygulamaya güvenlik eklemek WAF ve Bot/DDoS

Yayındaki bir uygulamanın önüne güvenlik katmanları, yayın adresi ve erişim kuralları yeniden düzenlenmeden yerleştirilir.

Değişikliğe kapalı ortamlar Dokunmadan

Sunucu, DNS ve istemci tarafında değişiklik yapılamayan ortamlarda gereken düzenleme TR7 üzerinde ve bağlantı yolunda yapılır.

Bu yerleşimin gerektirdikleri

İstemci ve sunucu tarafında bir ayar değişmez; düzenleme TR7'de ve TR7'nin bağlandığı noktada yapılır:

• Köprü arayüzü. TR7, trafik yolunun iki ucuna iki arayüzle bağlanır ve bu arayüzler bir Bridge arayüzünde birleştirilir.
• Köprüde bir adres. vService, Bridge arayüzüne tanımlanan bir adresi dinler. Bu adresin istemcilere duyurulması ve DNS'te yer alması gerekmez; sunucu ağından boş bir adres kullanılır.
• Aynı port. vService, Kurum Servisinin dinlediği portla aynı portu dinler.
• TCP. Inline Mode, HTTP ve L7 TCP vService'lerde QOS açıkken kullanılır ve yalnızca TCP bağlantılarını kapsar; HTTP/3 (UDP) trafiği bu yolla alınmaz.
• Güvenlik duvarı kuralları. Spoofing açıkken sunucunun ağ geçidiyle olan bütün trafiği TR7'ye ulaşır: sunucunun kendi başlattığı bağlantılar ve sunucuya yapılan diğer erişimler (yönetim, izleme, yedekleme) de buna dahildir. Bu geçiş TR7'nin güvenlik duvarında varsayılan olarak kapalıdır; devreye almadan önce bu trafik için izin kuralları tanımlanmalıdır.
• Ağ geçidi adresi. Kurum Servisinin route tablosunda bir varsayılan ağ geçidi tanımlı olmalı ya da Kurum Servisinde Spoofing IP alanı doldurulmalıdır.
• İstemci başka bir ağda olmalıdır. Trafik TR7'ye, sunucunun ağ geçidi üzerinden gelen istemciler için teslim edilir.
• Use Client IP ve Spoofing. Kurum Servisinde ikisi birlikte açılır. Use Client IP sunucunun istemci adresini görmesini sağlar; Spoofing ise trafiğin TR7'ye teslim edilmesini. Köprü olarak yolun üzerinde bulunmak tek başına yeterli değildir: sunucunun ağ geçidi TR7 olmadığı için dönüş trafiğini TR7'ye Spoofing getirir.

İlgili Sayfalar

Gateway Mode - Spoofing

Köprü kurmadan, vService adresi üzerinden istemci adresinin korunması.

→

HTTP vService

QOS altındaki Inline Mode anahtarı ve vService adresi.

→

Add Interface

Bridge arayüzünün tanımlanması ve üyelerinin seçilmesi.

→

Firewall

Otomatik üretilen inline mode kuralları ve geçiş (FORWARD) izinleri.

→