Management Ports

Management Ports Nedir?

Management Ports, cihazın kendi yönetim yüzeyine (SSH, HTTP ve HTTPS) açılan eşzamanlı bağlantıları kaynak başına sınırlar; TR7 Management Access bandının üç kuralı bu kutuda toplanır.

Yönetim yüzeyi küçük bir yüzeydir: aynı anda birkaç yöneticinin bağlanması beklenir, yüzlerce oturum beklenmez. Bu beklenti kuralları kullanışlı kılar; olağan kullanımın çok üstündeki bir eşzamanlılık ya bir hata ya da bir denemedir.

Üç kural aynı ölçüyü üç ayrı yüzeye uygular: komut satırı erişimi, yönetim arayüzünün şifresiz ve şifreli erişimi. Ölçülen şey hız değil eşzamanlılıktır: bir kaynağın belirli bir anda kaç bağlantı açık tuttuğu.

3

Kural

SSH · HTTP · HTTPS yönetim erişimi

5

Varsayılan SSH Tavanı

Kaynak başına eşzamanlı komut satırı bağlantısı

100

Varsayılan Arayüz Tavanı

HTTP ve HTTPS için kaynak başına eşzamanlı bağlantı

Eşzamanlılık

Ölçülen Büyüklük

Saniyelik hız değil, aynı anda açık bağlantı sayısı

3

Karantinaya Gönderebilen

Üçü de kaynağı karantinaya alabilir

Block

Varsayılan Mod

Üçü de dokunulmamış bir cihazda yaptırımda doğar

L4 DDoS Management'ta Management Ports Kutusu

Kutu, TR7 Management Access bandının tek kutusudur. Başlığında adı ve taşıdığı kural sayısı, gövdesinde üç kural satırı bulunur.

TR7 Management Access - Management Ports Kutusu

Satır	Kural	Neyi sınırlar
1	TR7 SSH Concurrent Conn	Kaynak başına eşzamanlı komut satırı bağlantısı.
2	TR7 HTTP Concurrent Conn	Kaynak başına eşzamanlı şifresiz yönetim arayüzü bağlantısı.
3	TR7 HTTPS Concurrent Conn	Kaynak başına eşzamanlı şifreli yönetim arayüzü bağlantısı.

TR7 SSH Concurrent Conn

Bir kaynağın aynı anda kaç komut satırı bağlantısı tutabileceğini belirler. Bilgi bandındaki tanımı şudur: TR7 SSH access limitation (concurrent open connections per source IP).

TR7 SSH Concurrent Conn Düzenleme Ekranı

INFO

Status

Kuralın çalışma modunu seçer. Dört değer sunulur ve seçilen değer satırdaki cümleyi de belirler:

Değer	Satırdaki cümle
Disabled	A limit of <limit> TR7 SSH connections at once is configured, but the rule is off
Monitor	A source may hold at most <limit> TR7 SSH connections at once; anything beyond is only monitored
Block	A source may hold at most <limit> TR7 SSH connections at once; anything beyond is dropped
Quarantine	A source may hold at most <limit> TR7 SSH connections at once; a source that exceeds it is quarantined

INFO

Learning Lock Varsayılan: Kapalı

Kuralı öğrenme motoruna kapatır. Anahtar açıldığında motor bu kuralın tavanını ve modunu değiştiremez; kural yalnızca bu pencereden elle değiştirilir.

Varsayılan olarak kapalıdır. Kilit açıkken satırda, kalemin solunda yazısız bir asma kilit ikonu görüntülenir.

INFO

Concurrent Limit Varsayılan: 5

Bir kaynağın aynı anda kaç bağlantı tutabileceğini belirler. Varsayılan değeri 5'tir. Yalnızca tam sayı girilebilir ve en küçük değer 1'dir; üst sınır yoktur.

Alan bir birim taşımaz: değer saniyelik bir hız değil, o an açık olan bağlantı sayısıdır.

INFO

Save

Yapılan değişikliği kaydeder ve anında yürürlüğe koyar. Yalnızca değiştirilen alanlar güncellenir.

TR7 HTTP Concurrent Conn

Bir kaynağın aynı anda kaç şifresiz yönetim arayüzü bağlantısı tutabileceğini belirler. Bilgi bandındaki tanımı şudur: TR7 HTTP access limitation (concurrent open connections per source IP).

TR7 HTTP Concurrent Conn Düzenleme Ekranı

INFO

Status

Kuralın çalışma modunu seçer. Dört değer sunulur ve seçilen değer satırdaki cümleyi de belirler:

Değer	Satırdaki cümle
Disabled	A limit of <limit> TR7 HTTP connections at once is configured, but the rule is off
Monitor	A source may hold at most <limit> TR7 HTTP connections at once; anything beyond is only monitored
Block	A source may hold at most <limit> TR7 HTTP connections at once; anything beyond is dropped
Quarantine	A source may hold at most <limit> TR7 HTTP connections at once; a source that exceeds it is quarantined

INFO

Learning Lock Varsayılan: Kapalı

Kuralı öğrenme motoruna kapatır. Anahtar açıldığında motor bu kurala dokunamaz.

Varsayılan olarak kapalıdır. Kilit açıkken satırda, kalemin solunda yazısız bir asma kilit ikonu görüntülenir.

INFO

Concurrent Limit Varsayılan: 100

Bir kaynağın aynı anda kaç bağlantı tutabileceğini belirler. Varsayılan değeri 100'dür. Yalnızca tam sayı girilebilir ve en küçük değer 1'dir; üst sınır yoktur.

INFO

Save

Yapılan değişikliği kaydeder ve anında yürürlüğe koyar. Yalnızca değiştirilen alanlar güncellenir.

TR7 HTTPS Concurrent Conn

Bir kaynağın aynı anda kaç şifreli yönetim arayüzü bağlantısı tutabileceğini belirler. Bilgi bandındaki tanımı şudur: TR7 HTTPS access limitation (concurrent open connections per source IP).

TR7 HTTPS Concurrent Conn Düzenleme Ekranı

INFO

Status

Kuralın çalışma modunu seçer. Dört değer sunulur ve seçilen değer satırdaki cümleyi de belirler:

Değer	Satırdaki cümle
Disabled	A limit of <limit> TR7 HTTPS connections at once is configured, but the rule is off
Monitor	A source may hold at most <limit> TR7 HTTPS connections at once; anything beyond is only monitored
Block	A source may hold at most <limit> TR7 HTTPS connections at once; anything beyond is dropped
Quarantine	A source may hold at most <limit> TR7 HTTPS connections at once; a source that exceeds it is quarantined

INFO

Learning Lock Varsayılan: Kapalı

Kuralı öğrenme motoruna kapatır. Anahtar açıldığında motor bu kurala dokunamaz.

Varsayılan olarak kapalıdır. Kilit açıkken satırda, kalemin solunda yazısız bir asma kilit ikonu görüntülenir.

INFO

Concurrent Limit Varsayılan: 100

Bir kaynağın aynı anda kaç bağlantı tutabileceğini belirler. Varsayılan değeri 100'dür. Yalnızca tam sayı girilebilir ve en küçük değer 1'dir; üst sınır yoktur.

INFO

Save

Yapılan değişikliği kaydeder ve anında yürürlüğe koyar. Yalnızca değiştirilen alanlar güncellenir.

Ortak Davranışlar

Tarayıcı tek sayfa için birden çok bağlantı açar

Arayüz tavanlarının varsayılanı 100'dür. Bu değerin yüksek olmasının pratik bir karşılığı vardır: bir tarayıcı tek bir sayfa için aynı sunucuya birkaç bağlantı birden açar, açık kalan uzun oturumlar da bunlara eklenir.

Tavan küçük bir sayıya çekildiğinde yönetim arayüzü, saldırı olmadan da kullanılamaz hâle gelebilir. Form 1 değerine kadar iner ve bir uyarı vermez; değişiklikten önce mevcut eşzamanlılığın panodaki Connection Limits sekmesinden okunması yerinde olur.

Tavan yalnız yeni bağlantılara uygulanır

Kural, bir kaynağın hâlihazırda açık bağlantılarını saymakla birlikte, kararı yeni bir bağlantı kurulurken verir. Tavanın altına inen bir değer kaydedildiğinde açık oturumlar kesilmez; yalnız yeni bağlantı denemeleri reddedilir.

Aynı biçimde kural yaptırıma alındığında da açık bir yönetim oturumu düşmez.

Yaptırım yalnız IPv4 trafiğinde çalışır

Üç kural da yalnız IPv4 yönetim trafiğine uygulanır; IPv6 üzerinden gelen yönetim bağlantıları bu tavanlara takılmaz.

Ölçüm ise iki IP sürümünü ayırmaz: panodaki grafik IPv4 ve IPv6 bağlantılarını birlikte sayar. Bu nedenle IPv6 üzerinden yoğun erişim alan bir cihazda grafik tavanı aşmış görünse de kural devreye girmemiş olabilir.

Bazı yollar tavanın dışındadır

Üç kural, cihazın yayınlanan yönetim adresine gelen bağlantıları sayar. Bunun dışında kalan iki yol vardır:

Yol	Neden dışarıda
Cihaz içi yönetim arayüzü	Zone içinden gelen yönetim trafiği kurallardan önce kabul edilir.
Cluster eşitleme arayüzü	Cluster'daki eş cihazla yapılan eşitleme trafiği de kurallardan önce kabul edilir.

Muafiyet listesindeki kaynaklar da tavana takılmaz; üstelik bu kaynakların bağlantıları ölçüme de yazılmaz. Bu nedenle muaf bir yöneticinin açtığı oturumlar panodaki grafikte görünmez.

Varsayılana döndürme işlemi yönetim erişimini yeniden sınırlar

Learning şeridindeki varsayılana döndürme işlemi, bu üç kuralı Block moduna ve varsayılan tavanlarına geri alır. Aynı işlem muafiyet listesini de varsayılan hâline döndürür ve elle eklenmiş bütün girdileri siler.

İkisi birlikte gerçekleştiğinden, uzaktan bağlanan bir yöneticinin muafiyeti işlemden sonra bulunmayabilir. İşlem çalıştırılmadan önce muafiyet listesinin yeniden kurulacağı düşünülerek plan yapılması gerekir.

Öğrenme motoru bu kurallar için tavan önerir

Motor üç kuralın tavanını trafikten öğrenip önerebilir. Önerilen tavan TR7 SSH Concurrent Conn kuralında 5'in, TR7 HTTP Concurrent Conn ve TR7 HTTPS Concurrent Conn kurallarında 50'nin altına inmez; tek bir tarayıcı yönetim arayüzüne birden çok bağlantı açtığından web kurallarının tabanı daha yüksektir.

Kuralların izlemeden yaptırıma terfisi için muafiyet listesinin dolu olması, Mode Promotion izninin açık olması, öğrenilen tavanın oturmuş olması, geriye dönük denemenin temiz çıkması ve güven eşiğinin aşılması gerekir.

Ölçüm ve Pano

Üç kuralın ölçümü yalnız cihazın DEFAULT route tablosunun panosunda görüntülenir.

Özellik	Değeri
Panel sekmesi	Connection Limits
Ölçülen	En yüksek kaynak eşzamanlılığı, p95 değeri, etkin kaynak sayısı ve yapılandırılan tavan çizgisi
Karantina paneli	Var
Dropped Traffic paneli	Var; yalnız yaptırım modlarında değer üretir
Live View ailesi	Management

Ölçüm kuraldan değil, bağlantı tablosundan okunur

Bandın kuralları izleme modunda hiç güvenlik duvarı kuralı üretmez; buna karşılık grafikleri dolmaya devam eder. Ölçüm, cihazın açık bağlantı tablosundan doğrudan okunur.

Sayım iki noktada güvenlik duvarının davranışını taklit eder: kapanma aşamasındaki bağlantılar sayılmaz ve yönetim adresi çevriminden geçen bağlantılar da doğru portla eşleştirilir.

Kapsam ve Sınırlar

INFO

• Üç kural da eşzamanlılık ölçer, hız değil; alanları birim taşımaz.
• Kurallar yalnız cihaza yönelen yönetim trafiğine uygulanır; cihaz üzerinden geçirilen trafik kapsam dışıdır.
• Yaptırım yalnız IPv4 trafiğinde çalışır; ölçüm iki IP sürümünü birlikte sayar.
• Kurulu yönetim oturumları kesilmez; tavan yalnız yeni bağlantılarda uygulanır. Karantina modunda cihaz üzerinden geçirilen açık bağlantılar bu korumanın dışındadır.
• İzleme modunda güvenlik duvarı kuralı yazılmaz; ölçüm bağlantı tablosundan gelir.
• Cihaz içi yönetim arayüzünden ve cluster eşitleme arayüzünden gelen trafik tavanların dışındadır.
• Muafiyet listesindeki kaynaklar tavana takılmaz ve ölçüme de yazılmaz.
• Karantina, kaynağın yalnız yönetim erişimini değil, route tablosundaki bütün trafiğini keser; cihaza yönelen kurulu oturumlar korunurken cihaz üzerinden geçirilen açık bağlantılar da düşer.
• Dokunulmamış bir cihazda üçü de Block modunda ve varsayılan tavanlarıyla doğar.
• Düzenleme Network alanında değiştirme yetkisi ister.