One Arm Topology

One Arm Topology, TR7'nin ağa tek bir kolla (tek bir ağ arayüzü, Bond, LACP ya da VLAN; tek bir IP ağı ve TR7'de tek bir route tablosu) bağlandığı yerleşimdir: istemci trafiği aynı ağ arayüzünden karşılanır ve Kurum Servislerine yine aynı arayüzden ulaşılır. TR7 trafik yolunun ortasına yerleşmez, mevcut ağın yanına eklenir; bu nedenle yük dengeleme, WAF ve erişim denetimi, çalışan bir altyapıya ağ tasarımı değiştirilmeden kazandırılır.

Sunucuların IP adresleri, ağ geçitleri ve kablolaması olduğu gibi kalır. Uygulamaya giden trafik vService adresine yönlendirildiğinde TR7 devreye girer; yönlendirme geri alındığında altyapı eski hâline döner. En az riskle, en kısa sürede sonuç veren yerleşim budur.

Tek Arayüz

Tek kol, tek ağ

İstemci tarafı ve sunucu tarafı aynı arayüz ve aynı ağ üzerinde çalışır

Dokunmadan

Mevcut ağ korunur

Sunucuların IP adresi, ağ geçidi ve kablolaması değişmez

SNAT

Dönüş yolu hazır

TR7 sunucuya kendi adresiyle bağlanır; yanıt bu adrese, yani TR7'ye döner

Tam Kapsam

L7 yetenekleri

Yük dengeleme, TLS ve Bot/DDoS bu yerleşimde kullanılır; HTTP vService'lerde WAF ve AGS de açılır

X-Forwarded-For

İstemci adresi iletilir

Gerçek istemci IP adresi, açıldığında başlıkla ya da Proxy Protocol ile sunucuya iletilir

Cluster

Yüksek erişilebilirlik

vService adresi VIP olarak tanımlandığında adres, cihaz arızasında diğer cihaza geçer

One Arm Topology

Şema trafiğin akışını gösterir: istemcinin bağlandığı VIP ile TR7'nin Kurum Servisine bağlanırken kullandığı adres aynı arayüzde (şemada 1G-1) ve aynı ağdadır.

Şemadaki örnekte TR7 cihazları Kurum Servisine 172.16.102.90 ve 172.16.102.91 adresleriyle bağlanır. Hem uygulama trafiği hem sağlık denetimi bu adreslerden yapılır; Kurum Servisi bağlantının kaynağı olarak bu adresleri görür ve yanıtı doğrudan TR7'ye döndürür. Sağlık denetimi için bu, Kurum Servisinde Health Check Source IP alanı varsayılan değerindeyken geçerlidir; alanda başka bir adres seçildiğinde denetim o adresten yapılır.

Şemadaki örnekte bağlantının dört adımında paketlerin kaynak ve hedef bilgileri şöyledir (TR7-01 etkin cihazken):

Adım	Yön	Kaynak IP	Kaynak Port	Hedef IP	Hedef Port
1	İstemci → TR7	İstemci IP	Rastgele	`172.16.102.92` (VIP)	`443`
2	TR7 → Kurum Servisi	`172.16.102.90` (Interface IP)	Rastgele	`172.16.102.161`	`8080`
3	Kurum Servisi → TR7	`172.16.102.161`	`8080`	`172.16.102.90` (Interface IP)	2. adımın kaynak portu
4	TR7 → İstemci	`172.16.102.92` (VIP)	`443`	İstemci IP	1. adımın kaynak portu

Renk	Anlamı
	İstek
	Yanıt

VIP diğer cihaza geçtiğinde 2. ve 3. adımdaki TR7 adresi 172.16.102.91 olur.

Neden One Arm?

Araya giren yerleşimler	One Arm Topology ile
Sunucu ağı yeniden tasarlanır; ağ geçidi, VLAN ya da kablolama değişir.	Mevcut ağ olduğu gibi kalır; TR7 aynı ağa bir cihaz olarak eklenir.
Sunuculara giden bütün trafik yük dengeleyiciden geçer.	Yalnızca vService adresine gelen uygulama trafiği TR7'den geçer; yedekleme, yönetim ve sunucular arası trafik kendi yolunda kalır.
Devreye alma bir bakım penceresi ve geri dönüş planı gerektirir.	Trafik vService adresine çevrilerek devreye alınır, eski adrese çevrilerek geri alınır.
Dönüş trafiğinin doğru yoldan gelmesi ağ tarafında ayrıca sağlanır.	TR7 sunucuya kendi adresiyle bağlandığı için yanıt TR7'ye döner.

Trafik Nasıl Akar?

İstemciUygulamaya vService adresinden erişir

İstekvService adresineYanıtvService adresinden

TR7Tek arayüz, tek ağTLSBot/DDoSLBWAFAGSWAF ve AGS yalnızca HTTP vService'te

İstekTR7'nin adresiyle (SNAT)YanıtTR7'nin adresine

Kurum ServisiKaynak olarak TR7'yi görür

İstek gelirİstemci, uygulamanın yayımlandığı vService adresine bağlanır.
TR7 denetlerTLS sonlandırma, Bot/DDoS ve kurallar aynı noktada uygulanır; HTTP vService'lerde WAF ve AGS de bu noktadadır.
Sunucuya iletirTR7 seçilen Kurum Servisine aynı arayüzden, kendi adresiyle bağlanır.
Yanıt dönerKurum Servisi TR7'ye yanıt verir; TR7 yanıtı istemciye iletir.

İstekYanıt

İstek ve yanıt aynı cihazdan geçtiği için TR7 bağlantının iki ucunu da görür: bağlantı kayıt altına girer; HTTP vService'lerde yanıt ayrıca denetlenir, sıkıştırılır ve önbelleğe alınır. Tek kollu yerleşim, yeteneklerden ödün vermek anlamına gelmez.

Öne Çıkanlar

Tak ve çalıştır yerleşimTek arayüz, tek route tablosu ve bir vService adresi yeterlidir; ek VLAN ya da ikinci bir ağ gerekmez.

Geri dönüşü kolaySunucular değişmediği için eski duruma dönmek, trafiği yeniden sunucu adresine çevirmekten ibarettir.

Esnek kaynak adres seçimiSunucuya bağlanırken kaynak adres TR7 tarafından kendiliğinden seçilir; istenirse aynı route tablosundaki belirli bir cihaz adresi (Use Device IP) seçilir.

İstemci adresi görünür kalırHTTP vService'lerde X-Forwarded-For başlığı, HTTP ve L7 TCP vService'lerde Kurum Servisinin desteklediği durumda Proxy Protocol gerçek istemci IP adresini Kurum Servisine taşır.

Güvenlik katmanları aynı noktadaBot/DDoS koruması HTTP ve L7 TCP vService'lerde, WAF ve AGS HTTP vService'lerde aynı vService üzerinde açılır.

Sağlık denetimi aynı ağdanKurum Servisleri TR7 ile aynı ağda olduğu için sağlık denetimleri ek yönlendirme gerektirmeden çalışır.

Cluster ile yüksek erişilebilirlikvService adresi VIP olarak tanımlandığında, bir cihaz devre dışı kaldığında adres diğer cihaza geçer ve yayın bu cihazdan sürdürülür.

L4 trafikte de geçerliNetwork vService'lerde SNAT modu aynı tek kollu yerleşimi TCP ve UDP servislerine taşır; bu modda istemci adresi Kurum Servisine iletilmez.

Ne Zaman Tercih Edilir?

Hızlı devreye alma İlk kurulum

Çalışan bir uygulamanın önüne yük dengeleme ve WAF, ağ ekibinden topoloji değişikliği beklenmeden konur. Deneme kurulumları ve aşamalı geçişler için en kısa yoldur.

Değişikliğe kapalı ağlar Düşük risk

Sunucu ağının ağ geçidi, adres planı ya da kablolaması değiştirilemiyorsa TR7 aynı ağa eklenir ve yalnızca uygulama trafiğini üstlenir.

Seçili uygulamalar Kademeli geçiş

Aynı ağdaki sunucuların yalnızca bir bölümü yük dengeleyicinin arkasına alınır; diğer servisler ve yönetim trafiği etkilenmeden çalışmayı sürdürür.

Sunucular başka ağlardaysa

Kurum Servisleri TR7 ile aynı ağda değil de yönlendirme noktasının arkasındaki ağlardaysa aynı tek kollu kurulum One Arm Topology - Routed Backend yerleşimiyle kullanılır.

İstemci IP adresi sunucuda nasıl görünür?

Bu yerleşimde Kurum Servisi, bağlantının kaynağı olarak TR7'nin adresini görür. Gerçek istemci adresi HTTP vService'lerde X-Forwarded-For başlığıyla, HTTP ve L7 TCP vService'lerde Kurum Servisinin desteklediği durumda Proxy Protocol ile iletilir; iki seçenek de varsayılan olarak kapalıdır. İstemci adresinin bağlantının kaynak adresi olarak görülmesi gerekiyorsa Gateway Mode ya da Gateway Mode - Spoofing yerleşimi tercih edilir.