Trusted Proxies

Trusted Proxies Profili Nedir?

Trusted Proxies, TR7'nin önünde bir proxy veya CDN (Cloudflare, Akamai, kurumsal bir üst yük dengeleyici vb.) bulunduğu senaryolarda gerçek istemci IP adresinin doğru belirlenmesini sağlayan bir HTTP vService profilidir.

Böyle bir mimaride TR7, bağlantıyı doğrudan istemciden değil öndeki proxy'den alır; dolayısıyla normalde proxy'nin adresini istemci IP'si olarak görür. Gerçek ziyaretçi adresi ise proxy tarafından bir iletilen başlıkta (X-Forwarded-For ya da CF-Connecting-IP gibi özel bir başlık) taşınır. Trusted Proxies profili TR7'ye iki bilgiyi verir: gerçek istemci adresinin hangi başlıkta taşındığı ve bu başlığa hangi proxy ağlarından geldiğinde güvenilebileceği.

Bağlantı, tanımlı güvenilir ağlardan birinden geldiğinde TR7, çalıştığı istemci adresini başlıktaki adresle değiştirir. Bu noktadan sonra istemci adresini kullanan tüm bileşenler (access log, coğrafi konum, IP İtibar / kara liste, hız sınırlama / DDoS koruması ve IP tabanlı koşullar) proxy yerine gerçek ziyaretçiyi görür.

Nasıl çalışır?

1. Gelen bağlantının kaynak adresi (öndeki proxy'nin adresi) kaydedilir.
2. Bu adres, tanımlı güvenilir ağların (Trusted Networks) içinde mi diye denetlenir.
3. Yalnızca eşleşme varsa seçilen başlıktan (X-Forwarded-For'un ilk/son girişi ya da özel bir başlık) gerçek istemci adresi okunur ve istemci IP'si bu değerle değiştirilir.
4. Eşleşme yoksa başlık yok sayılır; bağlantının geldiği adres istemci IP'si olarak kullanılır.

Trusted Proxies Profilinin Önemi

TR7'nin önünde bir proxy/CDN varken Trusted Proxies profili tanımlanmazsa, istemci adresini kullanan tüm mekanizmalar öndeki proxy'nin adresini görür. Bu durum ciddi sorunlara yol açar: access loglar ve raporlar tek bir adresi (proxy'yi) gösterir, coğrafi konum yanlış hesaplanır, IP İtibar ve kara liste denetimleri etkisizleşir, hız sınırlama ve DDoS koruması tüm kullanıcıları tek IP gibi değerlendirir ve IP tabanlı koşullar yanlış çalışır.

Trusted Proxies profili bu sorunu, gerçek ziyaretçi adresini güvenli biçimde (yalnızca güvenilir proxy ağlarından) geri kazanarak çözer. Böylece güvenlik ve izleme katmanları doğru istemci üzerinden çalışır.

Doğru Log

İzleme & Rapor

Access log ve raporlar gerçek ziyaretçi adresini gösterir

Etkili Güvenlik

IP tabanlı denetim

IP İtibar, kara liste ve DDoS koruması gerçek IP üzerinden

Doğru Konum

Coğrafi çözümleme

Geo, proxy yerine ziyaretçinin IP'siyle hesaplanır

Adil Sınır

Hız sınırlama

Rate limit tek proxy IP'si değil, kullanıcı bazında uygulanır

Varsayılan Trusted Proxies Profili Davranışı

Cache veya Timeout gibi profillerin aksine, Trusted Proxies için hazır (varsayılan) bir profil bulunmaz. Bu özellik tamamen isteğe bağlıdır ve vService bazında açıkça bir profil atanmasını gerektirir.

Durum	Davranış
Profil atanmamış (varsayılan)	İletilen başlıklar (X-Forwarded-For vb.) yok sayılır; istemci IP'si olarak bağlantının doğrudan geldiği adres kullanılır.
Profil atanmış	Güvenilir ağdan gelen bağlantılarda gerçek istemci adresi başlıktan çözülür ve istemci IP'si bununla değiştirilir.

Gerçek istemci adresinin çözülebilmesi için mutlaka bir profil tanımlanıp ilgili vService'e atanmalıdır. TR7 doğrudan internete açıksa (önünde güvenilir bir proxy yoksa) bu profil kullanılmamalıdır.

Operasyonel En İyi Uygulamalar

• Güvenilir ağlar dar tutulur. Trusted networks, yalnızca proxy/CDN'in yayınladığı gerçek IP aralıklarıyla sınırlandırılmalıdır. Tüm adresleri kapsayan aralıklar (0.0.0.0/0, ::/0) uygulanır: bu durumda internetteki her adres güvenilir sayılır ve servise doğrudan ulaşabilen herkes başlığa istediği IP'yi yazarak o adres gibi görünür. /0 ya da /1 önekli bir ağ girildiğinde form bir uyarı gösterir, ancak kaydı engellemez.
• Yalnızca gerçekten proxy arkasındayken kullanılır. TR7 doğrudan internete açıksa bu profil etkinleştirilmemelidir; aksi hâlde istemciler başlığı taklit ederek sahte bir IP bildirebilir.
• Doğru başlık seçilir. İlgili CDN'e uygun başlık kullanılır: Cloudflare için CF-Connecting-IP, Akamai için True-Client-IP, genel proxy zincirlerinde X-Forwarded-For. XFF kullanılıyorsa, zincirin yapısına göre ilk (first) veya en güvenilir (last) giriş seçilir.
• Birden fazla CDN/proxy için birden fazla kaynak tanımlanır. Aynı profilde her proxy için ayrı bir kaynak (başlık + güvenilir ağlar) tanımlanabilir; kaynaklar sırayla değerlendirilir ve ilk eşleşen uygulanır.
• "Used in" bilgisi kontrol edilir. Profil değişiklikleri, bağlı tüm vService'lerin istemci IP çözümünü anında etkiler.

Kullanılabildiği vService Tipleri

HTTP

L7 TCP

Network

Nasıl Eklenir?

Yeni bir Trusted Proxies Profili, TR7 web yönetim arayüzü üzerinden aşağıdaki adımlarla eklenir:

1. Sol altta bulunan TR7 logosuna tıklanarak Configuration Menu açılır.
2. Load Balancer → Profiles → Trusted Proxies → Add adımları takip edilir.
3. Profil için benzersiz ve açıklayıcı bir isim girilir.
4. Gerekli değerler yapılandırılır.
5. Add butonuna tıklanarak profil eklenir.

TIP

Hızlı arama ile sayfaya ulaşma

Menüde adım adım gezmek yerine, ekranın sol alt köşesindeki arama çubuğu kullanılarak ilgili sayfaya doğrudan ulaşılır. Arama çubuğu Windows'ta Alt + T, macOS'ta Opt + T kısayolu ile açılır; ardından aranan özelliğin adının yazılması yeterlidir.

Oluşturulan profil, bir veya birden fazla vService üzerinde kullanılabilir.

Çözümlemenin Kapsamı

INFO

Çözülen Adresi Kullanan Bileşenler

Adres çözümlemesi istek işlemenin en başında yapılır. Bu nedenle gerçek istemci adresini şu bileşenlerin tamamı görür: koşullar, WAF, bot puanlama ve CAPTCHA zinciri, Trafik Koruma, karantina ve hız sınırlama sayaçları, IP itibar ve ülke denetimleri, ayrıca tüm log kayıtları.

IP Log Masking aksiyonu da bu çözümlemeden sonra çalışır; dolayısıyla maskelenen adres proxy'nin değil, çözülmüş gerçek istemcinin adresidir.

vService ayarlarındaki Add X-Forwarded-For Header seçeneği açıksa, Kurum Servisine iletilen başlık da çözülmüş gerçek adresi taşır.

Çözümleme öncesindeki bağlantı kaynağı (öndeki proxy'nin adresi) ise %PROXY_SRC akıllı değişkeniyle log, rapor ve koşullarda kullanılabilir; bu değişken yalnızca bir Trusted Proxies profili atandığında dolar.

Güvenilmeyen kaynaktan gelen başlık silinmez

Bağlantı, tanımlı güvenilir ağların dışından geliyorsa başlıktaki adres kullanılmaz; ancak başlığın kendisi kaldırılmaz ve Kurum Servisine olduğu gibi iletilir. Uygulama tarafında bu başlığa doğrudan güvenilmemelidir.

Profilleri Listeleme Ekranı

Load Balancer → Profiles → Trusted Proxies yolu izlenerek TR7 cihazı üzerinde ekli olan tüm Trusted Proxies Profillerinin listesine ulaşılır. Bu ekran üzerinden profil ekleme, düzenleme ve silme işlemleri yapılır.

Trusted Proxies Profillerini Listeleme Formu

Tablo varsayılan olarak şu kolonlarla açılır:

Kolon	Açıklama
Trusted Proxy Profile Name	Profilin adı.
Sources	Profildeki kaynak sayısı, Total of N biçiminde; hücrenin üzerine gelindiğinde her kaynak <türü>: <başlık adı> (<güvenilen ağlar>) biçiminde virgülle sıralanır.

Varsayılan olarak gizlenen kolon bulunmaz; kolon seçicisinde bu iki kolon yer alır. Tablo açılışta sıralanmamıştır; bir kolon başlığına tıklandığında önce azalan, sonra artan sıralama uygulanır, üçüncü tıklamada sıralama kalkar.

Araç çubuğundaki öğeler soldan sağa aşağıdaki sırayla yer alır; son iki öğe (Page Information ve Page Size) tablonun altındaki bilgi şeridinde bulunur.

Columns

Tabloda hangi kolonların gösterileceği seçilir; iki kolon da varsayılan olarak açıktır. Aynı panelde kolonlar sürüklenerek yeniden sıralanır ve kolon başına hizalama seçilir; Fit rows to the page butonuyla satır yüksekliği sayfaya sığdırılır, Reset butonuyla kolon düzeni varsayılana alınır. Düzen kullanıcı bazında saklanır.

Filter

Filter butonu, listede gösterilen profilleri belirli kriterlere göre süzmek için kullanılır; buton etkin filtre sayısını rozetle gösterir. Şeritte tek kart bulunur: Used in. Kart profilin kullanıldığı vService adlarını listeler; hiçbir vService'te kullanılmayan profiller için Unused Entries seçeneği bulunur. Seçimler kart şeridinin altında, tablonun hemen üstünde kapatılabilir etiketler olarak görüntülenir.

Export

Export butonuna tıklanarak tablo Excel, CSV veya PDF olarak dışa aktarılır. Açılan pencerede Filename, Format ve Data Source ile dışa aktarılacak Columns belirlenir; kalan alanlar biçime göre görüntülenir: CSV'de CSV Separator, Excel'de Excel Sheet Name, PDF'te Page Orientation ve Page Size.

Add

Add butonuna tıklanarak yeni bir profil oluşturma formu Add sekmesinde açılır.

Delete

Bir veya birden fazla profil seçilip Delete butonuna tıklandığında ilgili profiller silinir.

WARNING

Kullanımda olan bir profil de silinebilir ve onay penceresi kullanım yerlerini göstermez. Silinen profili kullanan vService'lerde adres çözümlemesi sessizce devre dışı kalır; tüm istemciler yeniden ara sunucunun adresiyle görünmeye başlar. Silmeden önce önizleme panelindeki Used in sekmesi kontrol edilmelidir.

Edit

Edit butonuna tıklanarak seçili profilin düzenleme formu Edit sekmesinde açılır. Buton yalnızca tek bir profil seçildiğinde etkinleşir.

Search

Tablodaki tüm bilgilerde arama yapmak için kullanılır.

RegExp Search

Tabloda bulunan tüm bilgilerde düzenli ifade (RegExp) ile arama yapmak için kullanılır. Sütun bazlı arama ya da kullanım filtresi etkinken bu buton gizlenir.

Column Based Search

Tabloda bulunan bilgilerde sütun bazlı arama yapmak için kullanılır.

Usage Filter

Profillerin hangi vService'lere bağlı olduğunu filtrelemek için kullanılır; seçilen vService'te kullanılan profiller listelenir, hiçbir vService'te kullanılmayanlar için Unused Entries seçeneği bulunur. Filtre etkinken arama kutusunun yerini seçici alır; simgeye yeniden tıklandığında arama kutusu geri döner.

Page Information

Tanımlı toplam profil sayısı ile listede görüntülenen profil sayısına ait bilgiler yer alır: Showing N-M of T records ve seçili profil sayısı (N selected, seçim yokken Nothing selected). Filtre şeridinde seçim yapılmışsa aynı satıra uygulanan filtre sayısı ile gösterilen/toplam satır bilgisi eklenir.

Page Size

Sayfada görüntülenecek maksimum profil sayısı seçilir. Varsayılan 20; seçenekler 5, 10, 20, 50, 100, 200, 500 ve All.

Sağ Tık Menüsü

Bir satıra sağ tıklandığında, başlığında profilin adı bulunan bir menü açılır. Menüdeki iki işlem de yalnızca sağ tıklanan profile uygulanır; listede yapılmış seçim menüyü etkilemez.

İşlem	Ne yapar
Edit	Profilin düzenleme formunu Edit sekmesinde açar; araç çubuğundaki Edit butonunun açtığı formun aynısıdır.
Delete	Sağ tıklanan profili siler; araç çubuğundaki silme ile aynı onay sorusu görüntülenir.

Seçilen Profilin Önizlemesi

Listede bir satıra tıklandığında ekranın sağında profilin önizlemesi açılır; seçili satıra yeniden tıklandığında panel kapanır. Başlıkta profil simgesi, profilin adı ve Trusted proxy profile alt başlığı, sağ üstte ise tek bir işlem bulunur.

Seçilen Profilin Önizlemesi

İşlem	Ne yapar
Edit	Profilin düzenleme formunu Edit sekmesinde açar.

Panelde üç sekme bulunur; sonuncusu yalnızca profili kullanan bir vService varsa görüntülenir:

Details

Profilin ayarlarını satır satır listeler (aşağıdaki tablo).

Log

Profil üzerindeki kullanıcı işlemlerini (ekleme, düzenleme, silme) zaman çizelgesi olarak listeler.

Used in

Profilin kullanıldığı vService'leri listeler. Sekme adının yanındaki rozet kullanım sayısını gösterir; profili kullanan bir vService yoksa sekme hiç görüntülenmez.

Details sekmesindeki satırlar sırasıyla aşağıdaki gibidir:

Satır	Açıklama	Görünme koşulu
Trusted Proxy Profile Name	Profilin adı.	Her zaman
Sources	Her kaynak ayrı satırda <türü>: <başlık adı> (<güvenilen ağlar>) biçiminde (ör. Custom header: CF-Connecting-IP (197.234.240.0/22)); kaynak yoksa -.	Her zaman

"Used in" sekmesi mutlaka kontrol edilmelidir

Used in sekmesi, profilin hangi vService'lerde aktif olduğunu gösterir. Canlı ortamda profil ayarlarında yapılacak güncellemeler tüm bağlı servisleri anında etkileyeceğinden, değişiklik öncesi olası servis etkilerinin değerlendirilmesi kritik öneme sahiptir.

Profil Ekleme Formu

Load Balancer → Profiles → Trusted Proxies → Add adımları takip edilerek TR7 cihazı üzerine yeni bir Trusted Proxies Profili eklenir.

Profil Ekleme Formu

INFO

Trusted Proxy Profile Name Zorunlu

Oluşturulacak profile benzersiz bir isim girilir; sistem genelinde tekil olmalıdır.

INFO

Sources Zorunlu

Profilin kapsadığı güvenilir proxy kaynaklarını tanımlar. Her kaynak (source); bir proxy/CDN'in gerçek istemci adresini nasıl ilettiğini ve hangi ağlardan güvenilebileceğini belirtir. En az bir kaynak tanımlanmalıdır; birden fazla kaynakla tek profil, birden çok proxy/CDN'i (ör. Cloudflare + Akamai) kapsayabilir. Form, bir boş kaynak satırıyla açılır; alan etiketinin yanındaki (+) ile yeni kaynak eklenir.

Her kaynak üç bilgiden oluşur:

Real IP from

Gerçek istemci adresinin hangi başlıktan okunacağını belirler. Varsayılan X-Forwarded-For (last / most trusted).

Seçenek	Açıklama
X-Forwarded-For (last / most trusted)	X-Forwarded-For başlığındaki en sağdaki (en güvenilir) giriş kullanılır.
X-Forwarded-For (first)	X-Forwarded-For başlığındaki ilk (en soldaki) giriş kullanılır.
Custom Header	Özel bir başlıktan okunur (ör. CF-Connecting-IP, True-Client-IP).

Header Name

Yalnızca Custom Header seçildiğinde görünür; okunacak başlığın adı girilir (ör. CF-Connecting-IP). Yalnızca harf, rakam, - ve _ karakterlerine izin verilir (en fazla 64 karakter).

Trusted Networks

Başlığa yalnızca bu ağlardan gelen bağlantılarda güvenilir. Proxy/CDN'in yayınlanmış IP aralıkları CIDR biçiminde girilir. En az bir ağ tanımlanmalıdır; alan boş bırakılamaz, aksi hâlde başlık taklit edilebilir hâle gelir. IPv4 ve IPv6 desteklenir (tek adres için /32 veya /128).

Alan, ağ maskesi kutusu 24 değeriyle önyüklü gelir; IPv6 aralıkları için bu değer elle düzeltilmelidir. Her kaynak için en az bir ağ tanımlanması zorunludur; yeni ağ satırı, alan etiketinin yanındaki (+) ile eklenir.

Herhangi bir ağ /0 ya da /1 önekiyle girildiğinde kaynak kartında şu uyarı görüntülenir: "A trusted network of /0 or /1 means every address on the internet is trusted. Anyone who can reach this service directly can then put any IP in the header and be treated as that IP: blacklists, IP reputation, country rules, threat protection and reports all follow the forged address. Enter the address ranges the proxy publishes instead (e.g. Cloudflare's list), or make sure this service is reachable only through the proxy." Uyarı kaydı engellemez.

INFO

Add

Add butonuna tıklanarak profil ekleme işlemi tamamlanır.

vService'e Nasıl Eklenir?

Trusted Proxies Profili, bir vService'e aşağıdaki adımlar takip edilerek atanır.

1

Adım 1 vServices ekranına git

TR7 web arayüzünden Load Balancer → Load Balancer vService List yolu izlenir.

2

Adım 2 vService'in düzenleme ekranını aç

Profilin ekleneceği vService'e sağ tıklayıp Edit seçilir; veya vService'in üzerine tıklanıp sağda açılan pencereden Edit ikonuna tıklanır.

3

Adım 3 Trusted proxy özelliğini etkinleştir

vService'in düzenleme ekranının sağındaki Details panelinde Trusted proxy seçeneği işaretlenerek özellik devreye alınır. İşaretlendiğinde, kayıtlı profillerden ilki otomatik olarak seçilir.

vService Düzenleme Ekranında Trusted Proxy Seçimi

WARNING

Cihazda hiç Trusted Proxies profili tanımlı değilse seçim boş kalır; bu durumda kayıt sonrası özellik devreye girmez ve form yeniden açıldığında seçenek işaretsiz görünür.

4

Adım 4 Profil seç veya yenisini ekle

Farklı bir profil kullanmak için satırın yanındaki ok işaretine tıklanır ve genişleyen bölümdeki listeden seçim yapılır. İstenirse Add butonuna tıklanarak vService düzenleme ekranı üzerinden yeni bir profil de eklenebilir.

5

Adım 5 Kaydet

Save butonuna tıklanarak değişiklikler kaydedilir; yapılandırma vService'e uygulanırken "vService düzenleniyor" bildirimi görüntülenir.