Two Arm Topology - Routed Backend

Two Arm Topology - Routed Backend, Two Arm Topology'nin sunucu kolunun bir geçiş ağı olduğu yerleşimdir (bütün vService adresleri tek bir yayın ağında; sunucu tarafında yalnızca TR7'ye ayrılmış, içinde sunucu bulunmayan ayrı bir ağ; Kurum Servisleri bu ağın arkasındaki farklı ağlarda ve TR7 onlara yönlendirmeyle ulaşır). TR7 hiçbir sunucu ağına doğrudan bağlanmaz; tek bir koldan, ağın yönlendirme noktası üzerinden hepsine erişir.

Sunucular kaç ayrı ağa dağılmış olursa olsun TR7 tarafındaki bağlantı sayısı değişmez: bir yayın kolu, bir geçiş kolu. Yeni bir sunucu ağı eklendiğinde TR7'ye yeni bir arayüz ya da adres verilmez, o ağa giden yolun tanımlanması yeterlidir. Çok sayıda sunucu ağı bulunan, yönlendirmenin merkezi bir noktada toplandığı veri merkezlerinin doğal yerleşimi budur.

Tek Yayın Ağı

Bütün vService adresleri

Yayımlanan bütün servisler aynı ağdaki adreslerden karşılanır

Geçiş Ağı

TR7'ye ayrılmış kol

Sunucu tarafındaki kolda sunucu bulunmaz; bu ağ yalnızca TR7 ile yönlendirme noktasını bağlar

Yönlendirmeli

Sunucular arkadaki ağlarda

TR7 Kurum Servislerine, route tablosunda tanımlanan yollar üzerinden ulaşır

SNAT

Dönüş yolu hazır

TR7 sunucuya geçiş ağındaki adresiyle bağlanır; yanıt bu adrese, yani TR7'ye döner

Sunucu Ayarı Aynı

Ağ geçidi değişmez

Sunucular kendi ağ geçitlerini kullanmaya devam eder

X-Forwarded-For

İstemci adresi iletilir

Gerçek istemci IP adresi, açıldığında başlıkla ya da Proxy Protocol ile sunucuya iletilir

Two Arm Topology - Routed Backend

Şema trafiğin akışını gösterir: istemcinin bağlandığı VIP yayın ağındaki arayüzde (şemada 1G-1, VLAN_102), TR7'nin Kurum Servisine bağlanırken kullandığı adres ise geçiş ağındaki ikinci arayüzdedir (şemada 1G-2, VLAN_101). Kurum Servisi, yönlendirme noktasının (şemada Internal Firewall) arkasındaki farklı bir ağdadır (VLAN_103); TR7'nin bu ağda arayüzü yoktur.

Şemadaki örnekte Internal Firewall üzerinde, TR7 cihazlarının Kurum Servisine bağlanırken kullandığı 172.16.101.48 ve 172.16.101.49 adreslerinden Kurum Servisinin adresine ve portuna (172.16.103.77:80) erişime izin verilir. Hem uygulama trafiği hem sağlık denetimi bu adreslerden yapılır; Kurum Servisi bağlantının kaynağı olarak bu adresleri görür ve yanıtı aynı yoldan TR7'ye döndürür. Sağlık denetimi için bu, Kurum Servisinde Health Check Source IP alanı varsayılan değerindeyken geçerlidir; alanda başka bir adres seçildiğinde denetim o adresten yapılır.

Şemadaki örnekte bağlantının dört adımında paketlerin kaynak ve hedef bilgileri şöyledir (TR7-01 etkin cihazken):

Adım	Yön	Kaynak IP	Kaynak Port	Hedef IP	Hedef Port
1	İstemci → TR7	İstemci IP	Rastgele	`172.16.102.92` (VIP)	`443`
2	TR7 → Kurum Servisi	`172.16.101.48` (Interface IP)	Rastgele	`172.16.103.77`	`80`
3	Kurum Servisi → TR7	`172.16.103.77`	`80`	`172.16.101.48` (Interface IP)	2. adımın kaynak portu
4	TR7 → İstemci	`172.16.102.92` (VIP)	`443`	İstemci IP	1. adımın kaynak portu

Renk	Anlamı
	İstek
	Yanıt

VIP diğer cihaza geçtiğinde 2. ve 3. adımdaki TR7 adresi 172.16.101.49 olur.

Neden Routed Backend?

Her sunucu ağına ayrı kol	Routed Backend ile
TR7'ye her sunucu ağı için bir arayüz ya da VLAN ve o ağdan bir adres tanımlanır.	TR7'de sunucu tarafı için tek bir kol ve tek bir ağ bulunur.
Yeni bir sunucu ağı, TR7'de yeni bir arayüz ve adres demektir.	Yeni bir sunucu ağı, Kurum Servisinin route tablosunda o ağa giden yolun bulunmasıyla kapsama alınır.
Sunucu ağları arasındaki erişim kuralları birden fazla noktada yönetilir.	TR7'den sunuculara giden trafik ağın yönlendirme noktasından geçer ve oradaki kurallarla yönetilir.
TR7 her sunucu ağının bir üyesidir.	TR7 sunucu ağlarının dışında kalır; sunucular onu yalnızca geçiş ağındaki adresiyle tanır.

Trafik Nasıl Akar?

İstemciYayın ağındaki vService adresine erişir

İstekvService adresineYanıtvService adresinden

TR7Yayın kolu ve geçiş koluTLSBot/DDoSLBWAFAGSWAF ve AGS yalnızca HTTP vService'te

İstekGeçiş ağındaki adresle (SNAT), yönlendirme noktası üzerindenYanıtTR7'nin geçiş ağındaki adresine

Kurum ServisiArkadaki bir ağda; kaynak olarak TR7'yi görür

İstek gelirİstemci, yayın ağındaki vService adresine bağlanır.
TR7 denetlerTLS sonlandırma, Bot/DDoS ve kurallar aynı noktada uygulanır; HTTP vService'lerde WAF ve AGS de bu noktadadır.
Geçiş kolundan iletirTR7 seçilen Kurum Servisine geçiş ağındaki adresiyle bağlanır; bağlantı ağın yönlendirme noktası üzerinden sunucunun ağına ulaşır.
Yanıt dönerKurum Servisi yanıtı TR7'nin geçiş ağındaki adresine gönderir; yanıt aynı yönlendirme noktasından TR7'ye döner ve TR7 istemciye iletir.

İstekYanıt

Sunucu, yanıtını TR7'nin adresine gönderdiği için dönüş yolu ağın olağan yönlendirmesiyle sağlanır: dönüş trafiği için ek bir yönlendirme kuralı ya da adres çevirisi gerekmez.

Öne Çıkanlar

Sunucu tarafında tek kolSunucu ağlarının sayısı arttıkça TR7'deki arayüz ve adres sayısı artmaz; bütün sunuculara aynı geçiş kolundan ulaşılır.

Yol route tablosunda tanımlanırSunucu ağlarına giden yol, Kurum Servisinin route tablosunda varsayılan ağ geçidi ya da Routes sekmesindeki bir yönlendirme kaydı olarak tanımlanır.

Dönüş yolu kendiliğindenTR7 sunucuya kendi adresiyle bağlandığı için yanıt bu adrese döner; sunucunun ağ geçidi değiştirilmez.

İstemci adresi görünür kalırHTTP vService'lerde X-Forwarded-For başlığı, HTTP ve L7 TCP vService'lerde Kurum Servisinin desteklediği durumda Proxy Protocol gerçek istemci IP adresini Kurum Servisine taşır.

Sağlık denetimi aynı yoldanSağlık denetimleri Kurum Servisinin route tablosundan çıkar; sunuculara yönlendirme noktası üzerinden ulaşır.

Güvenlik katmanları aynı noktadaBot/DDoS koruması HTTP ve L7 TCP vService'lerde, WAF ve AGS HTTP vService'lerde açılır; trafik sunucu ağlarına geçmeden önce bu katmanlardan geçer.

Belirli bir kaynak adresSunucuların tek bir adrese izin vermesi isteniyorsa Kurum Servisinde Use Device IP ile aynı route tablosundaki belirli bir cihaz adresi seçilir; sağlık denetiminin kaynak adresi ayrıca Health Check Source IP alanından belirlenir.

Cluster ile yüksek erişilebilirlikvService adresi VIP olarak tanımlandığında, bir cihaz devre dışı kaldığında adres diğer cihaza geçer ve yayın bu cihazdan sürdürülür.

Ne Zaman Tercih Edilir?

Çok sayıda sunucu ağı Tek kol

Uygulamalar farklı VLAN'lara ve ağlara dağılmışsa TR7 her birine ayrı ayrı bağlanmak yerine hepsine tek bir geçiş kolundan ulaşır.

Merkezi yönlendirme ve denetim Yönlendirmeli ağ

Ağlar arası trafiğin bir çekirdek anahtar ya da güvenlik duvarı üzerinden geçmesi isteniyorsa TR7'nin sunuculara giden trafiği de aynı noktadan geçer.

Büyüyen altyapılar Sade tasarım

Yeni sunucu ağları eklendikçe TR7'nin arayüz ve adres yapılandırması aynı kalır; yayın ağı ve geçiş ağı sabit iki nokta olarak korunur.

Bu yerleşimin gerektirdikleri

Sunucu ağlarına giden yol. Kurum Servisinin route tablosunda, sunucu ağlarına ulaşan bir varsayılan ağ geçidi ya da Routes sekmesinde bir yönlendirme kaydı tanımlı olmalıdır. İki kol aynı route tablosundaysa varsayılan ağ geçidi yayın kolunda kullanıldığından sunucu ağları için yönlendirme kaydı tanımlanır.
Dönüş yolu. Sunucu ağlarından TR7'nin geçiş ağındaki adresine ulaşılabilmelidir; yönlendirme noktasında geçiş ağı tanımlı olmalıdır.
Aradaki erişim kuralları. TR7 ile sunucular arasında bir güvenlik duvarı varsa, TR7'nin geçiş ağındaki adresinden sunucuların servis portlarına ve sağlık denetimi portlarına izin verilmelidir.
Sunucudaki erişim listeleri. Sunucu, bağlantının kaynağı olarak TR7'nin geçiş ağındaki adresini görür; IP tabanlı erişim listeleri buna göre düzenlenir. Cluster kurulumunda her cihaz kendi adresiyle bağlandığı için erişim listelerinde ve aradaki kurallarda iki cihazın adresi de tanımlanır.

İstemci IP adresi sunucuda nasıl görünür?

Bu yerleşimde Kurum Servisi, bağlantının kaynağı olarak TR7'nin geçiş ağındaki adresini görür. Gerçek istemci adresi HTTP vService'lerde X-Forwarded-For başlığıyla, HTTP ve L7 TCP vService'lerde Kurum Servisinin desteklediği durumda Proxy Protocol ile iletilir; iki seçenek de varsayılan olarak kapalıdır.