One Arm Topology - Routed Backend

One Arm Topology - Routed Backend, One Arm Topology'nin sunucuların başka ağlarda bulunduğu hâlidir (TR7'de tek bir ağ arayüzü ve tek bir IP ağı; vService adresleri bu ağda; Kurum Servisleri yönlendirme noktasının arkasındaki farklı ağlarda ve TR7 onlara aynı koldan, yönlendirmeyle ulaşır). TR7 hiçbir sunucu ağına doğrudan bağlanmaz; istemci trafiğini karşıladığı koldan, ağın yönlendirme noktası üzerinden bütün sunuculara erişir.

TR7 için ağda tek bir bağlantı ve tek bir adres bloğu yeterlidir. Sunucular kaç ayrı ağa dağılmış olursa olsun TR7'ye yeni bir arayüz ya da adres verilmez, o ağlara giden yolun tanımlanması yeterlidir. Mevcut bir ağa en az değişiklikle eklenen ve dağınık sunucu ağlarına tek noktadan hizmet veren yerleşim budur.

Tek Kol

Tek arayüz, tek ağ

İstemci trafiği ve sunuculara giden trafik aynı arayüzü kullanır

Tek Adres Bloğu

vService adresleri

Yayımlanan bütün servisler TR7'nin bağlı olduğu ağdaki adreslerden karşılanır

Yönlendirmeli

Sunucular başka ağlarda

TR7 Kurum Servislerine, route tablosunda tanımlanan yollar üzerinden ulaşır

SNAT

Dönüş yolu hazır

TR7 sunucuya kendi adresiyle bağlanır; yanıt bu adrese, yani TR7'ye döner

Sunucu Ayarı Aynı

Ağ geçidi değişmez

Sunucular kendi ağ geçitlerini kullanmaya devam eder

X-Forwarded-For

İstemci adresi iletilir

Gerçek istemci IP adresi, açıldığında başlıkla ya da Proxy Protocol ile sunucuya iletilir

One Arm Topology - Routed Backend

Şema trafiğin akışını gösterir: istemcinin bağlandığı VIP ile TR7'nin Kurum Servisine bağlanırken kullandığı adres aynı arayüzde (şemada 1G-1) ve aynı ağdadır; Kurum Servisi ise yönlendirme noktasının (şemada Internal Firewall) arkasındaki farklı bir ağdadır.

Şemadaki örnekte Internal Firewall üzerinde, TR7 cihazlarının Kurum Servisine bağlanırken kullandığı 172.16.102.90 ve 172.16.102.91 adreslerinden Kurum Servisinin adresine ve portuna (172.16.101.47:80) erişime izin verilir. Hem uygulama trafiği hem sağlık denetimi bu adreslerden yapılır; Kurum Servisi bağlantının kaynağı olarak bu adresleri görür ve yanıtı aynı yoldan TR7'ye döndürür. Sağlık denetimi için bu, Kurum Servisinde Health Check Source IP alanı varsayılan değerindeyken geçerlidir; alanda başka bir adres seçildiğinde denetim o adresten yapılır.

Şemadaki örnekte bağlantının dört adımında paketlerin kaynak ve hedef bilgileri şöyledir (TR7-01 etkin cihazken):

Adım	Yön	Kaynak IP	Kaynak Port	Hedef IP	Hedef Port
1	İstemci → TR7	İstemci IP	Rastgele	`172.16.102.92` (VIP)	`443`
2	TR7 → Kurum Servisi	`172.16.102.90` (Interface IP)	Rastgele	`172.16.101.47`	`80`
3	Kurum Servisi → TR7	`172.16.101.47`	`80`	`172.16.102.90` (Interface IP)	2. adımın kaynak portu
4	TR7 → İstemci	`172.16.102.92` (VIP)	`443`	İstemci IP	1. adımın kaynak portu

Renk	Anlamı
	İstek
	Yanıt

VIP diğer cihaza geçtiğinde 2. ve 3. adımdaki TR7 adresi 172.16.102.91 olur.

Neden Routed Backend?

Sunucularla aynı ağda One Arm	Routed Backend ile
TR7, yük dengelediği sunucuların ağına yerleştirilir.	TR7 kendi ağında durur; sunucular bulundukları ağlarda kalır.
Farklı ağlardaki sunucular için TR7'ye o ağlardan arayüz ve adres tanımlanır.	Yeni bir sunucu ağı, Kurum Servisinin route tablosunda o ağa giden yolun bulunmasıyla kapsama alınır.
TR7 sunucu ağının bir üyesidir.	TR7 sunucu ağlarının dışında kalır; sunucular onu yalnızca kendi ağındaki adresiyle tanır.
TR7 ile sunucular arasındaki trafik yönlendirme noktasından geçmez.	TR7'den sunuculara giden trafik ağın yönlendirme noktasından geçer ve oradaki kurallarla yönetilir.

Trafik Nasıl Akar?

İstemciUygulamaya vService adresinden erişir

İstekvService adresineYanıtvService adresinden

TR7Tek arayüz, tek ağTLSBot/DDoSLBWAFAGSWAF ve AGS yalnızca HTTP vService'te

İstekTR7'nin adresiyle (SNAT), yönlendirme noktası üzerindenYanıtTR7'nin adresine

Kurum ServisiBaşka bir ağda; kaynak olarak TR7'yi görür

İstek gelirİstemci, uygulamanın yayımlandığı vService adresine bağlanır.
TR7 denetlerTLS sonlandırma, Bot/DDoS ve kurallar aynı noktada uygulanır; HTTP vService'lerde WAF ve AGS de bu noktadadır.
Aynı koldan iletirTR7 seçilen Kurum Servisine aynı arayüzden, kendi adresiyle bağlanır; bağlantı ağın yönlendirme noktası üzerinden sunucunun ağına ulaşır.
Yanıt dönerKurum Servisi yanıtı TR7'nin adresine gönderir; yanıt aynı yönlendirme noktasından TR7'ye döner ve TR7 istemciye iletir.

İstekYanıt

Sunucu, yanıtını TR7'nin adresine gönderdiği için dönüş yolu ağın olağan yönlendirmesiyle sağlanır: dönüş trafiği için ek bir yönlendirme kuralı ya da adres çevirisi gerekmez.

Öne Çıkanlar

Tek kol yeterliSunucu ağlarının sayısı arttıkça TR7'deki arayüz ve adres sayısı artmaz; bütün sunuculara aynı koldan ulaşılır.

Yol route tablosunda tanımlanırSunucu ağlarına giden yol, Kurum Servisinin route tablosunda varsayılan ağ geçidi ya da Routes sekmesindeki bir yönlendirme kaydı olarak tanımlanır.

Dönüş yolu kendiliğindenTR7 sunucuya kendi adresiyle bağlandığı için yanıt bu adrese döner; sunucunun ağ geçidi değiştirilmez.

İstemci adresi görünür kalırHTTP vService'lerde X-Forwarded-For başlığı, HTTP ve L7 TCP vService'lerde Kurum Servisinin desteklediği durumda Proxy Protocol gerçek istemci IP adresini Kurum Servisine taşır.

Sağlık denetimi aynı yoldanSağlık denetimleri Kurum Servisinin route tablosundan çıkar; sunuculara yönlendirme noktası üzerinden ulaşır.

Güvenlik katmanları aynı noktadaBot/DDoS koruması HTTP ve L7 TCP vService'lerde, WAF ve AGS HTTP vService'lerde açılır; trafik sunuculara iletilmeden önce bu katmanlardan geçer.

Belirli bir kaynak adresSunucuların tek bir adrese izin vermesi isteniyorsa Kurum Servisinde Use Device IP ile aynı route tablosundaki belirli bir cihaz adresi seçilir; sağlık denetiminin kaynak adresi ayrıca Health Check Source IP alanından belirlenir.

Cluster ile yüksek erişilebilirlikvService adresi VIP olarak tanımlandığında, bir cihaz devre dışı kaldığında adres diğer cihaza geçer ve yayın bu cihazdan sürdürülür.

Ne Zaman Tercih Edilir?

Çok sayıda sunucu ağı Tek kol

Uygulamalar farklı VLAN'lara ve ağlara dağılmışsa TR7 her birine ayrı ayrı bağlanmak yerine hepsine bağlı olduğu tek koldan ulaşır.

Merkezi yönlendirme ve denetim Yönlendirmeli ağ

Ağlar arası trafiğin bir çekirdek anahtar ya da güvenlik duvarı üzerinden geçmesi isteniyorsa TR7'nin sunuculara giden trafiği de aynı noktadan geçer.

Büyüyen altyapılar Sade tasarım

Yeni sunucu ağları eklendikçe TR7'nin arayüz ve adres yapılandırması aynı kalır; cihazın ağdaki tek bağlantısı değişmez.

Bu yerleşimin gerektirdikleri

Sunucu ağlarına giden yol. Kurum Servisinin route tablosunda, sunucu ağlarına ulaşan bir varsayılan ağ geçidi ya da Routes sekmesinde bir yönlendirme kaydı tanımlı olmalıdır.
Dönüş yolu. Sunucu ağlarından TR7'nin adresine ulaşılabilmelidir.
Aynı kol, iki yön. İstemci trafiği ve sunuculara giden trafik aynı arayüzü paylaşır; istemciler de aynı yönlendirme noktasını kullanıyorsa trafik o noktadan iki kez geçer.
Aradaki erişim kuralları. TR7 ile sunucular arasında bir güvenlik duvarı varsa, TR7'nin adresinden sunucuların servis portlarına ve sağlık denetimi portlarına izin verilmelidir.
Sunucudaki erişim listeleri. Sunucu, bağlantının kaynağı olarak TR7'nin adresini görür; IP tabanlı erişim listeleri buna göre düzenlenir. Cluster kurulumunda her cihaz kendi adresiyle bağlandığı için erişim listelerinde ve aradaki kurallarda iki cihazın adresi de tanımlanır.

İstemci IP adresi sunucuda nasıl görünür?

Bu yerleşimde Kurum Servisi, bağlantının kaynağı olarak TR7'nin adresini görür. Gerçek istemci adresi HTTP vService'lerde X-Forwarded-For başlığıyla, HTTP ve L7 TCP vService'lerde Kurum Servisinin desteklediği durumda Proxy Protocol ile iletilir; iki seçenek de varsayılan olarak kapalıdır.