Advanced Traffic Inspection

Advanced Traffic Inspection Aksiyonu Nedir?

Advanced Traffic Inspection aksiyonu, vService üzerinden geçen trafiği gerçek zamanlı olarak izlemeye ve analiz etmeye olanak tanır. Bu aksiyon, belirlenen anahtarlara (IP, port, host vb.) göre trafik istatistiklerini bir tabloda toplar ve bu verilerin canlı olarak görüntülenmesini sağlar.

Advanced Traffic Inspection aksiyonu sadece belirlenen anahtarlara göre trafiğin analiz edilmesi için kullanılabilir. Tek başına herhangi bir şekilde trafiği manipüle edemez. Tracking Condition ile Traffic Tag özelliği sayesinde takip edilen bilgilerden anormal trafik tespiti durumunda bloklama, içerik gösterme, yönlendirme gibi işlemler yapılabilir.

Bu aksiyon istek (request) veya yanıt (response) aşamasında çalışabilir ve her iki yönde de trafik istatistiklerini toplayabilir.

Advanced Traffic Inspection Aksiyonunun Önemi

Trafik izleme, performans analizi, güvenlik tespiti ve kapasite planlaması için kritik öneme sahiptir. Bu aksiyon sayesinde gerçek zamanlı olarak hangi kaynaklardan ne kadar trafik geldiği, hata oranları ve bağlantı durumları görüntülenebilir.

Advanced Traffic Inspection aksiyonu;

• Gerçek zamanlı trafik istatistikleri sağlar,
• IP bazlı veya çoklu anahtar bazlı izleme yapabilir,
• HTTP ve TCP trafiği için farklı metrikler toplar,
• Anormal trafik kalıplarını tespit etmeye yardımcı olur,
• DDoS veya brute-force saldırı tespitinde kullanılabilir,
• Kapasite planlaması için veri sağlar.

Bu nedenle Advanced Traffic Inspection aksiyonu, operasyonel görünürlük ve güvenlik analizi için güçlü bir araçtır.

Advanced Traffic Inspection Aksiyonunun Kullanımı

Advanced Traffic Inspection aksiyonu, trafiği İstemci IP adresi, User-Agent, HTTP Host Header bilgisi gibi istenilen Fields to Track anahtar bilgileri üzerinden, tanımlanan periyot boyunca izlemek ve istatistiksel olarak kaydetmek amacıyla kullanılır. Bu aksiyon, yalnızca takip ve ölçüm işlevi görür; tek başına herhangi bir bloklama, yönlendirme, içerik gösterme gibi trafik manipülasyonu gerçekleştirmez.

Bu aksiyon kapsamında oluşturulan takip tablosuna bir Traffic Tag atanır. İlgili anahtarlar (IP, User-Agent, Host vb.) bu etiket altında gruplanarak izlenir ve elde edilen veriler yalnızca referans amaçlıdır.

Takip edilen bu veriler, bloklama, yönlendirme, içerik gösterme gibi aksiyonlarda Tracking Condition kullanılarak değerlendirilir. Örneğin Block aksiyonu tanımlanırken koşul olarak Tracking Condition seçilir ve bu koşulda, Tracked Table alanına Advanced Traffic Inspection aksiyonunda oluşturulan Traffic Tag girilir.

Tracking Condition kapsamında izlenen metrikler vService tipine göre aşağıdaki gibidir.

HTTP vService

Metrik	Açıklama
HTTP requests	Belirlenen periyottaki HTTP istek sayısı
HTTP errors	Belirlenen periyottaki hatalı HTTP isteği sayısı (4xx)
Incoming data (B)	Belirlenen periyot boyunca gelen toplam veri (bayt)
Outgoing data (B)	Belirlenen periyot boyunca giden toplam veri (bayt)
Total connections	Belirlenen periyottaki toplam bağlantı sayısı
Current connections	Anlık aktif bağlantı sayısı; HTTP vService'lerde bu sayaç teknik bir kısıt nedeniyle 0 kalabilir; eşikler bu metriğe HTTP'de kurulmamalıdır

L7 TCP vService

Metrik	Açıklama
Incoming data (B)	Belirlenen periyot boyunca gelen toplam veri (bayt)
Outgoing data (B)	Belirlenen periyot boyunca giden toplam veri (bayt)
Total connections	Belirlenen periyottaki toplam bağlantı sayısı
Current connections	Anlık aktif bağlantı sayısı; HTTP vService'lerde bu sayaç teknik bir kısıt nedeniyle 0 kalabilir; eşikler bu metriğe HTTP'de kurulmamalıdır

Bu yapı sayesinde, örneğin HTTP requests > 100 gibi bir eşik değeri tanımlanarak, belirlenen periyot içerisinde anormal trafik davranışı tespit edilen istemciler için Block aksiyonu ile engellenir.

Özetle yapı iki ayrı aşamada çalışır:

1. Advanced Traffic Inspection

Koşul: Always veya istenilen bir koşul (örn: `path → /login.php`)
Amaç: Trafiği izlemek ve Traffic Tag altında istatistik toplamak.

2. Blokla (veya benzeri aksiyon)

Koşul: Takip Koşulu
Amaç: Advanced Traffic Inspection aksiyonundan elde edilen verileri kullanarak karar almak.

Bu yaklaşım sayesinde trafik takibi ile aksiyon uygulama süreçleri birbirinden ayrılarak, daha kontrollü, esnek ve ölçeklenebilir bir trafik yönetimi sağlanır.

Kullanılabildiği vService Tipleri

HTTP

L7 TCP

Network

Çalışma Anı

İstek Anı (On Request)

Cevap Anı (On Response)

Nasıl Eklenir?

Yeni bir Advanced Traffic Inspection Aksiyonu, TR7 web yönetim arayüzü üzerinden aşağıdaki adımlar izlenerek eklenebilir:

1. Sol altta bulunan TR7 logosuna tıklanarak Configuration Menu açılır.
2. Load Balancer → Actions → Add adımları takip edilir.
3. Aksiyon için benzersiz ve açıklayıcı bir isim girilir.
4. Action Type olarak Advanced Traffic Inspection seçilir.
5. Aksiyona ait ilgili konfigürasyonlar yapılandırılır.
6. Conditions sekmesinden aksiyonun hangi koşul/koşullarda devreye gireceği belirlenir.
7. Add butonuna tıklanarak aksiyon eklenir.

Advanced Traffic Inspection Aksiyonu Ekleme Formu

Advanced Traffic Inspection Aksiyonu Ekleme Formu

INFO

Action Name

Oluşturulacak olan aksiyona benzersiz ve açıklayıcı bir isim girilir.

INFO

Action Type

Aksiyon tipi olarak Advanced Traffic Inspection seçilir.

INFO

Execution Level

Aksiyonun hangi aşamada çalıştırılacağını belirler.

• On Request: Aksiyon, istek ilgili Kurum Servisine iletilmeden önce uygulanır. Bu seviye, istek üzerinde değişiklik yapılması veya Kurum Servisine ek bilgi iletilmesi gereken durumlarda kullanılır.
• On Response: Aksiyon, yanıt istemciye iletilmeden önce uygulanır. Bu seviye, istemciye gönderilen yanıt üzerinde düzenleme veya ekleme yapılması gereken durumlarda kullanılır.

TIP

Her iki seçenekte de tüm metrikler (gelen/giden veri, bağlantı sayısı vb.) toplanır. Seçim, istatistiklerin hangi noktada güncelleneceğini belirler.

vService Başına 15 Takip Tablosu

Bir vService'te en fazla 15 Advanced Traffic Inspection kuralı çalışabilir. Limit aşıldığında taşan kuralın tablosu hiç oluşturulmaz; kural (ve ona bağlı Tracking Condition koşulları) sessizce devre dışı kalır ve durum yalnızca sistem loglarına yazılır.

INFO

Fields to Track Zorunlu

Trafik istatistiklerinin hangi anahtar veya anahtarlara göre gruplanacağı bu alanda seçilir; en az bir anahtar seçilmelidir. Birden fazla alan seçilerek kompozit anahtarlar oluşturulabilir.

Listeye eklenen her satır, üzerine tıklandığında Değişken ekle / Değişken düzenle penceresini açar. Bu pencerede:

• Değişken adı (Variable name): Takip anahtarı olarak kullanılacak akıllı değişken aranabilir listeden seçilir (ör. Client IP address, Request HTTP header content).
• Değişkene ait argüman alanı: Seçilen değişken argüman alıyorsa (ör. HTTP başlığı için başlık adı, çerez için çerez adı) ilgili alan açılır ve değer girilir.
• Fonksiyondan geçir (Add functions): Değerin takip edilmeden önce bir veya birden fazla akıllı fonksiyondan geçirilmesi sağlanır (ör. küçük harfe çevirme, ilk N karakteri alma). Fonksiyonlar sırayla uygulanır.
• Özet (Summary): Yapılan seçimlerin sonucunda oluşan değişkenin okunabilir önizlemesi gösterilir.
• Gönder butonuyla pencere kapatılır ve değişken satıra yazılır.

Yaygın kullanılan akıllı değişkenler:

• Client IP address: İstemci IP adresine göre grupla
• Client port number: İstemci portuna göre grupla
• Destination IP address: Hedef IP'ye göre grupla
• Destination port number: Hedef porta göre grupla
• Request HTTP header content (host): HTTP Host başlığına göre grupla (yalnızca HTTP)
• Request HTTP header content (user-agent): Tarayıcı/istemci tipine göre grupla (yalnızca HTTP)

TIP

Bu alan Smart Variables destekler. fx butonu ile mevcut değişkenlere erişilebilir ve dinamik içerik oluşturulabilir.

Birden fazla alan seçildiğinde, bu alanların birleşimi benzersiz anahtar olarak kullanılır. Örneğin, IP + User-Agent seçildiğinde, aynı IP'den farklı tarayıcılarla gelen trafik ayrı satırlarda izlenir.

Detaylı bilgi Variables sayfasında yer alır.

INFO

Traffic Tag Zorunlu

Bu izleme kuralı için tanımlayıcı bir etiket girilir. Etiket 3-20 karakter uzunluğunda olmalı, yalnızca harf, rakam, - ve _ içermeli ve tüm aksiyonlar arasında benzersiz olmalıdır. Tanımlanan Traffic Tag, Tracking Condition içerisinde Tracked Table alanında referans alınarak kullanılır.

TIP

Örnek etiketler:

• API_TRAFFIC: API trafiğini izlemek için
• LOGIN_MONITOR: Giriş sayfası trafiği için
• STATIC_ASSETS: Statik dosya trafiği için

INFO

Tracking Period

İstatistiklerin hesaplanacağı zaman penceresi belirlenir; tüm metrikler bu pencere üzerinden sayılır (ör. periyot 1 dakika ise "HTTP requests" son 1 dakikadaki istek sayısıdır). Birim olarak Seconds, Minutes, Hours veya Days seçilebilir. Bir anahtarın kaydı, trafiği kesildikten sonra periyot süresi kadar tabloda yaşar ve sonra düşer.

TIP

• Kısa periyot (1-5 saniye): Anlık trafik değişimlerini yakalar, DDoS tespiti için idealdir.
• Orta periyot (30 saniye - 1 dakika): Genel trafik kalıplarını izlemek için uygundur.
• Uzun periyot (5+ dakika): Uzun vadeli trend analizi için kullanılır.

INFO

Max. Table Size

Trafik tablosunun tutabileceği maksimum benzersiz kayıt (satır) sayısı belirlenir. Tablo dolduğunda, en eski kayıtlar otomatik olarak silinir.

Geçerli aralık: 5 - 1000000 · Varsayılan: 10000

WARNING

Büyük tablo boyutları daha fazla bellek tüketir. Yüksek trafikli ortamlarda dengeli bir değer seçilmelidir.

TIP

• Düşük trafik (< 1000 istemci): 5.000 - 10.000
• Orta trafik: 50.000 - 100.000
• Yüksek trafik (DDoS koruması): 500.000 - 1.000.000

INFO

Conditions

Bu alanda, ilgili aksiyonun hangi koşul veya koşullar sağlandığında devreye gireceği tanımlanır.

Bir veya birden fazla koşul eklenerek, and/or yapısı ile davranışın hedefli ve kontrollü şekilde uygulanması sağlanabilir.

Koşullar hakkında detaylı bilgi Conditions sayfasında yer alır.

WARNING

Bu alanda herhangi bir koşul tanımlanmazsa, ilgili aksiyon koşulsuz (Always) olarak çalışır. Bu durumda aksiyon, ilgili vService'e gelen tüm trafiğe uygulanır.

Canlı ortamlarda, koşul tanımlanmadan aksiyon kullanılması beklenmeyen durumlara (servis kesintilerine) yol açabilir. Bu nedenle aksiyon oluşturulurken mutlaka en az bir koşul tanımlanması önerilir.

INFO

Details

Formun alt kısmındaki Details bölümü, ileri düzey ayarları içerir.

Rule Protocol

Aksiyonun HTTP mi TCP bağlamında mı çalışacağını belirler; kayıttan sonra değiştirilemez ve aksiyon bir vService içinden ekleniyorsa o vService'in tipine göre otomatik gelir. Bu seçim, saklanan metrik kümesini de belirler: TCP seçildiğinde HTTP metrikleri (HTTP requests, HTTP errors) hiç toplanmaz.

INFO

Form Butonları

Add

Add butonuna tıklanarak aksiyon ekleme işlemi tamamlanır.

Add & Repeat

Add & Repeat butonu ile aksiyon ekleme işlemi tamamlanır ve farklı konfigürasyonlarla ilgili pencereden çıkılmadan yeni bir aksiyon daha eklenebilir.

Aksiyon Eklendi

Toplanan Veriler Nasıl Görüntülenir?

Advanced Traffic Inspection aksiyonu tarafından toplanan veriler, vService'in Logs & Tracking sekmesinden görüntülenebilir.

Trafik İzleme Verileri Görünümü

1

Adım 1 vServices ekranına git

TR7 web arayüzünden Load Balancer → Load Balancer vService List yolu izlenir.

2

Adım 2 Logs & Tracking sekmesini aç

İlgili vService listeden seçilerek Dashboard ikonuna tıklanır veya doğrudan sol menüden vServices altındaki ilgili servis seçimi yapılır. Her iki yöntemde de ilgili vService'in Dashboard ekranına ulaşılır ve Logs & Tracking sekmesi açılır.

3

Adım 3 Tabloyu seç

Sol üstteki dropdown menüden trafik tablosu seçilir; tablo, aksiyon adı (TRACKING, periyot) biçiminde listelenir.

4

Adım 4 Verileri yükle

Tablo verileri otomatik olarak yüklenir. Tabloyu manuel güncellemek için Refresh butonuna tıklanır.

Takip Logları: Tablo Kolonları

Kolon	Açıklama
Last event	Bu kayıt için son aktivite zamanı
Expiry date	Kaydın tablodan silineceği zaman
(anahtar kolonları)	Seçilen her Fields to Track anahtarı, kendi kısa adıyla ayrı bir kolon olur (ör. ↓IP, ↓Port, ↓PathQ)
↓Request	HTTP istek sayısı (yalnızca HTTP)
↓Request.error	Hatalı HTTP isteği sayısı; 4xx (yalnızca HTTP)
↓Data	Gelen veri miktarı
↑Data	Giden veri miktarı
↓Connection	Toplam bağlantı sayısı
↓Connection.current	Anlık bağlantı sayısı (HTTP'de 0 kalabilir)

Kolonların ayrıntılı açıklaması için Advanced Traffic Inspection (Tracking) Logs sayfasına bakılabilir. Sayaçlar, cluster kurulumlarında cihazlar arasında senkronize tutulur.

Operasyonel ve Güvenli Kullanım Önerileri

• Amaca Uygun Anahtar Seçin. İzleme amacınıza göre doğru anahtar seçimi kritiktir: DDoS tespiti için yalnızca IP adresi, bot tespiti için IP + User-Agent, API kullanım analizi için IP + Host + URL Path.
• Periyodu Kullanım Amacına Göre Ayarlayın. Güvenlik izleme için kısa periyotlar (1-5 saniye), trend analizi için uzun periyotlar (1+ dakika) tercih edilmelidir.
• Tablo boyutu trafiğe göre ayarlanır. Benzersiz istemci sayısı tahmin edilerek tablonun dolup taşmayacağı bir boyut seçilir. Dolmuş tablo, yeni kayıtlar için eski verileri siler.
• Koşullarla hedefli izleme yapılır. Tüm trafiği izlemek yerine belirli koşullarla (örn. belirli URL path'ler, belirli Host başlıkları) hedefli izleme yapıldığında daha anlamlı veriler elde edilir.
• HTTP vService'lerde HTTP Metriklerinden Yararlanın. HTTP vService'lerde toplanan HTTP Requests ve HTTP Errors metrikleri, uygulama katmanı sorunlarını tespit etmek için çok değerlidir. Yüksek hata oranları, Kurum Servisi problemlerine işaret edebilir.
• Farklı etiketlerle çoklu izleme. Aynı vService üzerinde farklı koşullar ve farklı anahtarlarla birden fazla izleme aksiyonu oluşturulabilir; her biri için benzersiz bir Traffic Tag kullanılır.