ags security

ags security, erişim akışını kötüye kullanıma karşı koruyan politikaları toplayan komut grubudur. Kendi aksiyonu yoktur; dört alt komuttan oluşur.

Alt komut	Ne yönetir	Panel ekranı
ags security lockout-policies	Başarısız denemelerden sonra hesabın kilitlenmesi	Account Lockout Policies
ags security session-protection-policies	Oturumun bağlanması, süreleri ve eşzamanlı oturum sınırı	Session Protection Policies
ags security rate-limit-policies	Bot koruma politikaları: tetikleyici ve uygulanacak aksiyon	Bot Protection Policies
ags security captcha-providers	CAPTCHA sağlayıcı tanımları	Captcha Providers

Komut adı ekran adıyla örtüşmüyor

rate-limit-policies komutu, panelde Bot Protection Policies adıyla geçen kayıtları yönetir. Oran sınırlama bu politikaların bir tetikleyici türüdür.

Politikalar ağ geçidine bağlanarak devreye girer; CAPTCHA sağlayıcıları ise doğrudan ağ geçidine değil, onu kullanan kilitleme ve bot koruma politikalarına bağlanır.

TR7 WEB-CLI · politikaları ağ geçidine bağlama

admin@TR7LBWAF01> ags gateway update id <vService> \

--defaultLockoutPolicies.0 <kilitleme> --sessionProtectionPolicy <oturum> --botProtectionPolicies.0 <bot>

admin@TR7LBWAF01>  

Komut Özeti

TR7 WEB-CLI · ags security

# komuttan sonra Tab

admin@TR7LBWAF01> ags security

captcha-providers lockout-policies rate-limit-policies

session-protection-policies

 

admin@TR7LBWAF01> ags security lockout-policies

add delete list show update

 

admin@TR7LBWAF01> ags security lockout-policies list

admin@TR7LBWAF01> ags security lockout-policies show <kimlik>

admin@TR7LBWAF01> ags security lockout-policies add name <ad> …

admin@TR7LBWAF01> ags security lockout-policies update id <kimlik> …

admin@TR7LBWAF01> ags security lockout-policies delete <kimlik>

 

admin@TR7LBWAF01> ags security session-protection-policies list

admin@TR7LBWAF01> ags security session-protection-policies show <kimlik>

admin@TR7LBWAF01> ags security session-protection-policies add name <ad> …

admin@TR7LBWAF01> ags security session-protection-policies update id <kimlik> …

admin@TR7LBWAF01> ags security session-protection-policies delete <kimlik>

 

admin@TR7LBWAF01> ags security rate-limit-policies list

admin@TR7LBWAF01> ags security rate-limit-policies show <kimlik>

admin@TR7LBWAF01> ags security rate-limit-policies add name <ad> …

admin@TR7LBWAF01> ags security rate-limit-policies update id <kimlik> …

admin@TR7LBWAF01> ags security rate-limit-policies delete <kimlik>

 

admin@TR7LBWAF01> ags security captcha-providers list

admin@TR7LBWAF01> ags security captcha-providers show <kimlik>

admin@TR7LBWAF01> ags security captcha-providers add name <ad> …

admin@TR7LBWAF01> ags security captcha-providers update id <kimlik> …

admin@TR7LBWAF01> ags security captcha-providers delete <kimlik>

admin@TR7LBWAF01>  

Dört alt komutun her birinde beş aksiyon bulunur. show ve delete komutlarında kimlik alan adı olmadan yazılır, update komutunda id <kimlik> biçimindedir.

ags security lockout-policies

Belirli sayıda başarısız denemeden sonra erişimi kilitler. Kilitleme kapsamı, eşikler ve süreler burada belirlenir.

Sıra	Alan	Durum	Değer
1	name	Zorunlu	Politikanın adı
2	scope	Zorunlu	Neyin sayılacağı: username · username_ip · ip · composite
3	captchaProviderId	Koşullu zorunlu	CAPTCHA koruması açık olduğu sürece istenir; kapatmak için --captchaProtection false yazılır
4	lockoutAttemptThreshold	Zorunlu	Kaç başarısız denemeden sonra kilitleneceği
5	lockoutDuration.val · lockoutDuration.unit	Zorunlu	Kilitleme süresi ve birimi

İsteğe bağlı ayar	Varsayılan	Değer
--captchaProtection	true	Kilitlemeden önce CAPTCHA gösterir
--captchaAttemptThreshold	4	Kaç denemeden sonra CAPTCHA gösterileceği
--warningAttemptThreshold	3	Kaç denemeden sonra uyarı gösterileceği
--escalateRepeatedLockouts	true	Tekrarlanan kilitlemelerde süreyi katlar
--maxLockoutDuration.val · --maxLockoutDuration.unit	24 saat	Katlanan sürenin üst sınırı
--attemptWindowDuration.val · --attemptWindowDuration.unit	24 saat	Denemelerin sayıldığı zaman penceresi
--components.0	—	composite kapsamında sayımın hangi bileşenlere göre yapılacağı
--policyCondition	Koşulsuz	Politikanın yalnız belirli isteklerde uygulanmasını sağlar

TR7 WEB-CLI · kilitleme politikası

# CAPTCHA kapalı: sağlayıcı istenmez

admin@TR7LBWAF01> ags security lockout-policies add name kullanici-kilidi \

scope username lockoutAttemptThreshold 5 lockoutDuration.val 15 lockoutDuration.unit m \

--captchaProtection false

admin@TR7LBWAF01>  

ags security session-protection-policies

Oturumun hangi bilgilere bağlanacağını, ne kadar süreyle geçerli olacağını ve eşzamanlı oturum sınırını belirler.

Sıra	Alan	Durum	Değer
1	name	Zorunlu	Politikanın adı
2	sessionBindingType	Zorunlu	Oturumun neye bağlanacağı: none · ip · ip+ua · composite
3	concurrentSessionAction	Zorunlu	Eşzamanlı oturum sınırı aşıldığında: deny · logout_oldest · logout_all

İsteğe bağlı ayar	Varsayılan	Değer
--maxConcurrentSessions	—	Aynı anda açık kalabilecek oturum sayısı
--sessionIdleTimeout.val · --sessionIdleTimeout.unit	8 saat	Hareketsizlik süresi
--sessionAbsoluteTimeout.val · --sessionAbsoluteTimeout.unit	7 gün	Oturumun en uzun ömrü
--sessionBindingComponents.0	—	composite bağlamada kullanılacak bileşenler
--whitelistCond	—	Bağlama denetiminden muaf tutulacak istekler

TR7 WEB-CLI · oturum koruma politikası

admin@TR7LBWAF01> ags security session-protection-policies add name siki-oturum sessionBindingType ip+ua \

--maxConcurrentSessions 2 --concurrentSessionAction logout_oldest \

--sessionIdleTimeout.val 30 --sessionIdleTimeout.unit m

admin@TR7LBWAF01>  

ags security rate-limit-policies

Bir tetikleyici ile bir aksiyondan oluşur: hangi durumda devreye gireceği ve devreye girdiğinde ne yapacağı.

Sıra	Alan	Durum	Değer
1	name	Zorunlu	Politikanın adı
2	triggerType	Zorunlu	static · requests · failedAuthAttempts · botScore
3	requestsThreshold	Koşullu zorunlu	Yalnız triggerType requests; pencere başına istek eşiği
3	failedAuthThreshold	Koşullu zorunlu	Yalnız triggerType failedAuthAttempts; pencere başına başarısız giriş eşiği
3	botScoreThreshold	Koşullu zorunlu	Yalnız triggerType botScore; bot puanı eşiği
4	scope	Koşullu zorunlu	static dışındaki tetikleyicilerde: global · ip · ip+ua · composite
5 · 6	triggerTrackingWindow.val · triggerTrackingWindow.unit	Koşullu zorunlu	Olayların sayıldığı pencere; static ve botScore tetikleyicilerinde istenmez
6	action	Zorunlu	deny · tarpit · block · bwLimit · captcha · showContent

Aksiyona özel ayar	Varsayılan	Hangi aksiyonda
--denyStatus	429	deny ve tarpit
--blockStatusCode	403	block
--uploadLimit · --downloadLimit	—	bwLimit; kilobit/saniye
captchaProviderId	—	captcha; Koşullu zorunlu
--contentProfile · --contentStatusCode	403	showContent
--blockDuration.val · --blockDuration.unit	5 dakika	Aksiyonun sürdüğü süre
--policyCondition · --components.0	—	Koşul ve composite kapsam bileşenleri

botScore tetikleyicisi

botScore, vService'in Threat Protection bot puanını kullanır. Bunun çalışması için vService'te bot korumasının açık olması gerekir; izleme kipi de yeterlidir.

TR7 WEB-CLI · bot koruma politikaları

# dakikada 100 isteği aşan IP'yi 5 dakika engelle

admin@TR7LBWAF01> ags security rate-limit-policies add name istek-siniri triggerType requests \

requestsThreshold 100 scope ip triggerTrackingWindow.val 1 triggerTrackingWindow.unit m action block

# başarısız girişlerde CAPTCHA sor

admin@TR7LBWAF01> ags security rate-limit-policies add name giris-captcha triggerType failedAuthAttempts \

failedAuthThreshold 5 scope ip triggerTrackingWindow.val 10 triggerTrackingWindow.unit m \

action captcha captchaProviderId <captcha>

admin@TR7LBWAF01>  

ags security captcha-providers

CAPTCHA doğrulamasının hangi servisle yapılacağını tanımlar. Sağlayıcı seçildikten sonra yalnız o sağlayıcının alanları istenir.

Sıra	Alan	Durum	Değer
1	name	Zorunlu	Sağlayıcı kaydının adı
2	provider	Zorunlu	tr7 · recaptcha · hcaptcha · turnstile
3–5	tr7CaptchaType · tr7CaptchaDifficulty · tr7MaxAttempts	Koşullu zorunlu	Yalnız provider tr7
6 · 7	challengeTTL.val · challengeTTL.unit	Koşullu zorunlu	Yalnız provider tr7; sorunun yanıtlanması için verilen süre. Satırda -- olsa bile öneksiz yazılır
3–5	recaptchaSiteKey · recaptchaSecretKey · recaptchaVersion	Koşullu zorunlu	Yalnız provider recaptcha
3–5	hcaptchaSiteKey · hcaptchaSecretKey · hcaptchaDifficulty	Koşullu zorunlu	Yalnız provider hcaptcha
3–5	turnstileSiteKey · turnstileSecretKey · turnstileMode	Koşullu zorunlu	Yalnız provider turnstile

Sağlayıcıya özel alanlar satırda -- ile başlayan alan yoksa öneksiz, varsa -- önekiyle yazılır.

provider	Zorunlu alanları
tr7	tr7CaptchaType (text · math) · tr7CaptchaDifficulty · tr7MaxAttempts
recaptcha	recaptchaSiteKey · recaptchaSecretKey · recaptchaVersion (v2_checkbox · v2_invisible · v3); v3 seçilirse ayrıca recaptchaV3Threshold
hcaptcha	hcaptchaSiteKey · hcaptchaSecretKey · hcaptchaDifficulty (easy · moderate · difficult · always_on)
turnstile	turnstileSiteKey · turnstileSecretKey · turnstileMode (managed · non-interactive · invisible)

İsteğe bağlı ayar	Varsayılan	Değer
--validFor.val · --validFor.unit	5 dakika	Başarılı doğrulamanın geçerlilik süresi
--namespace	Cihazın varsayılan route tablosu	Dış sağlayıcıya çıkılacak route tablosu; tr7 dışındaki sağlayıcılarda

TR7 WEB-CLI · CAPTCHA sağlayıcıları

# cihaz üzerinde çalışan CAPTCHA

admin@TR7LBWAF01> ags security captcha-providers add name yerel-captcha provider tr7 \

tr7CaptchaType text tr7CaptchaDifficulty 3 tr7MaxAttempts 3 challengeTTL.val 2 challengeTTL.unit m

# dış servis

admin@TR7LBWAF01> ags security captcha-providers add name turnstile-captcha provider turnstile \

turnstileSiteKey <site-anahtarı> turnstileSecretKey <gizli-anahtar> turnstileMode managed

admin@TR7LBWAF01>  

Bilinmesi Gerekenler

• Süre alanları iki parçadır. Her sürede --alan.val değer, --alan.unit birim alır.
• CAPTCHA sağlayıcısı önce oluşturulur. Kilitleme politikası CAPTCHA koruması açıkken, bot koruma politikası da captcha aksiyonunda bir sağlayıcı kaydı ister.
• Politikalar ağ geçidine bağlanmadan çalışmaz. Kilitleme ve bot koruma politikaları liste alanlarıyla, oturum koruma politikası tek seçimle bağlanır.
• Dış sağlayıcı anahtarları komut satırına yazılır. Site ve gizli anahtarlar gizli sorulmaz; satırda görünür ve komut geçmişine düşer.
• Kilitleme davranışı adım bazında değiştirilebilir. Sağlayıcı ve MFA komutlarındaki --lockoutBehaviour alanı, o adımda farklı politikaların uygulanmasını sağlar.