settings access

settings access komutu, cihazın yönetim erişimini yapılandırır: hangi hizmetin hangi adres ve porttan dinleneceğini, hangi ağlardan erişilebileceğini, oturum açma korumalarını ve oturum sürelerini belirler.

Yanlış ayar yönetim erişimini kesebilir

Bu komut, cihaza bağlanılan yolu değiştirir. Dinleme adresini, portu ya da izinli ağ listesini yanlış vermek mevcut oturumu kopardığı gibi yeniden bağlanmayı da engelleyebilir. Değişiklikten önce alternatif bir erişim yolu hazır olmalıdır.

Komut Özeti

TR7 WEB-CLI · settings access

# komuttan sonra Tab

admin@TR7LBWAF01> settings access

init reset show update

 

admin@TR7LBWAF01> settings access show # ayarları göster

admin@TR7LBWAF01> settings access update … # değiştir

admin@TR7LBWAF01> settings access init # erişimi kur

admin@TR7LBWAF01> settings access reset # varsayılana döndür

admin@TR7LBWAF01>  

Bu kaynak tekil bir ayardır: kimlik yazılmaz, update doğrudan çalıştırılır ve yalnız değişecek alanlar verilir.

Hizmetlerin Ortak Yapısı

Beş yönetim hizmetinin (HTTP, HTTPS, SSH, FTP, SNMP) hepsi aynı iki listeyi kullanır:

Liste	Ne yapar	Alan biçimi
Dinleme adresleri	Hizmetin hangi adres ve porttan sunulacağını belirler	--<hizmet>.N.ip ve --<hizmet>.N.port
İzinli ağlar	Hizmete hangi ağlardan erişilebileceğini sınırlar	--<hizmet>AllowedNetworks.N.ip ve --<hizmet>AllowedNetworks.N.cidr

Her iki liste de indekslidir: birden çok adres ya da ağ, kendi indeksiyle yazılır. İzinli ağ listeleri en çok 10 girdi alır.

Dinleme adresi olarak seçilebilen adresler, varsayılan yönlendirme tablosundaki ethernet arabirimlerine tanımlı adreslerle sınırlıdır.

HTTP

Alan	Ne yapar	Arkasına ne yazılır
--http.N.ip	HTTP yönetim erişiminin dinleneceği adresi belirler	Cihaza tanımlı adres; her dinleme girdisi kendi indeksiyle
--http.N.port	O girdinin dinleneceği portu belirler	Port numarası (örnek değer 80)
--httpAllowedNetworks.N.ip	HTTP erişimine izin verilen ağın adresini belirler	Ağ adresi
--httpAllowedNetworks.N.cidr	O ağın maske uzunluğunu belirler	CIDR değeri

HTTPS

Alan	Ne yapar	Arkasına ne yazılır
--https.N.ip	HTTPS yönetim erişiminin dinleneceği adresi belirler	Cihaza tanımlı adres
--https.N.port	O girdinin dinleneceği portu belirler	Port numarası (örnek değer 443)
--httpsAllowedNetworks.N.ip	HTTPS erişimine izin verilen ağın adresini belirler	Ağ adresi
--httpsAllowedNetworks.N.cidr	O ağın maske uzunluğunu belirler	CIDR değeri
--httpsCert	HTTPS'te sunulacak sertifikayı seçer	Sertifika kaydı
--httpsMinSslVersion	Kabul edilecek en düşük TLS sürümünü belirler	SSLv3 · TLSv1.0 · TLSv1.1 · TLSv1.2 · TLSv1.3
--httpsMaxSslVersion	Kabul edilecek en yüksek TLS sürümünü belirler	Aynı sürüm değerleri; en düşük sürümden küçük olamaz

Son üç alan, yalnız en az bir HTTPS dinleme adresi tanımlıyken listelenir.

SSH

Alan	Ne yapar	Arkasına ne yazılır
--ssh.N.ip	SSH erişiminin dinleneceği adresi belirler	Cihaza tanımlı adres
--ssh.N.port	O girdinin dinleneceği portu belirler	Port numarası (örnek değer 22)
--sshAllowedNetworks.N.ip	SSH erişimine izin verilen ağın adresini belirler	Ağ adresi
--sshAllowedNetworks.N.cidr	O ağın maske uzunluğunu belirler	CIDR değeri
--sshSessionDur.val	SSH oturumunun ne kadar işlemsiz kalınca düşürüleceğini belirler	Sayı
--sshSessionDur.unit	O sürenin birimini seçer	m (varsayılan) · h · d · w · M

FTP

Alan	Ne yapar	Arkasına ne yazılır
--ftp.N.ip	FTP erişiminin dinleneceği adresi belirler	Cihaza tanımlı adres
--ftp.N.port	O girdinin dinleneceği portu belirler	Port numarası (örnek değer 21)
--ftpAllowedNetworks.N.ip	FTP erişimine izin verilen ağın adresini belirler	Ağ adresi
--ftpAllowedNetworks.N.cidr	O ağın maske uzunluğunu belirler	CIDR değeri
--ftpPassivePortRange.start	Pasif kip veri bağlantılarının kullanacağı port aralığının başlangıcını belirler	1024–65535 arası tam sayı (varsayılan 40000)
--ftpPassivePortRange.end	Aynı aralığın bitişini belirler	1024–65535 arası tam sayı (varsayılan 40023)

SNMP

Alan	Ne yapar	Arkasına ne yazılır
--snmp.N.host	O dinleme girdisinin hangi cihazda açılacağını seçer	Cihaz; varsayılan, komutun çalıştığı cihaz
--snmp.N.ip	SNMP erişiminin dinleneceği adresi belirler	Seçilen cihaza tanımlı adres
--snmp.N.port	O girdinin dinleneceği portu belirler	Port numarası (örnek değer 161)
--snmpAllowedNetworks.N.ip	SNMP erişimine izin verilen ağın adresini belirler	Ağ adresi
--snmpAllowedNetworks.N.cidr	O ağın maske uzunluğunu belirler	CIDR değeri
--snmp_v1	Sürüm 1 sorgularına yanıt verilmesini açar	true · false (varsayılan false)
--snmp_v2	Sürüm 2 sorgularına yanıt verilmesini açar	true · false (varsayılan false)
--snmp_v3	Sürüm 3 sorgularına yanıt verilmesini açar	true · false (varsayılan false)
--snmp_v2_communityName	Sürüm 2'de doğrulanacak topluluk adını belirler	Topluluk adı
--snmp_v3_userPassList.N.username	Sürüm 3 kullanıcısının adını belirler	Kullanıcı adı; her kullanıcı kendi indeksiyle
--snmp_v3_userPassList.N.authProtocol	O kullanıcının kimlik doğrulama ve şifreleme yöntemini seçer	SHA — SHA + AES (authPriv), varsayılan · MD5 — MD5 (authNoPriv)
--snmp_v3_userPassList.N.password	O kullanıcının parolasını belirler	Parola

Sürüm anahtarları yalnız en az bir SNMP dinleme adresi tanımlıyken listelenir. Topluluk adı --snmp_v2 true, kullanıcı listesi --snmp_v3 true iken açılır.

Oturum Açma Koruması

Alan	Ne yapar	Arkasına ne yazılır
--tr7ServerCaptcha	Yönetim arayüzü girişinde CAPTCHA doğrulamasını açar	true · false (varsayılan false)
--tr7ServerCaptchaDifficulty	CAPTCHA zorluk düzeyini seçer	1 — Easy (varsayılan) · 2 — Medium · 3 — Hard. Yalnız --tr7ServerCaptcha true iken
--2fa	İki faktörlü kimlik doğrulamayı açar	true · false (varsayılan false)
--2faMethods	İkinci faktörün hangi kanaldan isteneceğini seçer	email (varsayılan) · sms
--2faUserTypes.N	Hangi kullanıcı tiplerinden ikinci faktör isteneceğini seçer	superAdmin; bu sürümde tanımlı tek tip
--2faExcludedUsers.N	İkinci faktörden muaf tutulacak kullanıcıları seçer	Kullanıcı kayıtları; her biri kendi indeksiyle
--2faNoContactPolicy	İletişim adresi tanımlı olmayan kullanıcıya ne yapılacağını seçer	block girişi engeller (varsayılan) · allow ikinci faktör istemeden geçirir

Son dört alan yalnız --2fa true iken listelenir.

Oturum ve Hatalı Giriş Sınırları

Alan	Ne yapar	Arkasına ne yazılır
--tr7ServerSessionDur.val	Yönetim arayüzü oturumunun ne kadar işlemsiz kalınca düşürüleceğini belirler	Sayı (varsayılan 3)
--tr7ServerSessionDur.unit	O sürenin birimini seçer	m · h (varsayılan) · d; toplam süre 24 saati aşamaz
--failedLoginExpiresIn.val	Hatalı giriş karantinasının ne kadar süreceğini belirler	Sayı (varsayılan 3)
--failedLoginExpiresIn.unit	O sürenin birimini seçer	m · h (varsayılan) · d; toplam süre 7 günü aşamaz
--maxFailedLoginPerIp	Bir adresten kaç hatalı girişe izin verileceğini belirler	0–1000 arası tam sayı
--maxFailedLoginPerIpUsername	Bir adres ve kullanıcı adı çifti için kaç hatalı girişe izin verileceğini belirler	0–1000 arası tam sayı

Diğer Erişimler

Alan	Ne yapar	Arkasına ne yazılır
--innerWaf	Yönetim API'sine gelen isteklerin süzülmesini açar — arayüzdeki adı API Access Filter (Beta)	true · false (varsayılan false)
--prometheusAllowedNetworks.N.ip	Ölçüm uç noktasına erişebilecek ağın adresini belirler	Ağ adresi
--prometheusAllowedNetworks.N.cidr	O ağın maske uzunluğunu belirler	CIDR değeri
--systemUsers.N.username	Yetkisi düzenlenecek sistem kullanıcısını seçer	log · config_backup · ip_intelligence · update; aynı kullanıcı iki kez yazılamaz
--systemUsers.N.ftp	O kullanıcının FTP erişimini açar	true · false (varsayılan false)
--systemUsers.N.ssh	Sistem kullanıcısının SSH erişimini açan alandır	Bu sürümde SSH yetkisi tanımlı sistem kullanıcısı bulunmadığından alan hiçbir kullanıcı seçiminde etkinleşmez

Sistem kullanıcıları ne işe yarar

Dört sistem kullanıcısının her biri bir dosya alışverişine karşılık gelir: log günlük dosyaları, config_backup yedekler, ip_intelligence adres itibarı listeleri, update güncelleme paketleri için kullanılan FTP klasörleridir.

init ve reset

Bu iki alt komut, yönetim erişiminin kendisini kurar ya da varsayılana döndürür. CLI düğümlerinde seçenek bulunmaz: komutlar alan yazılmadan çalıştırılır.

Alt komut	Ne yapar
init	Erişim ayarlarını başlatır ya da yeniden yapılandırır. Uç nokta açıklamasına göre arabirim, varsayılan yönlendirme tablosunda bir ethernet arabirimi olmalı; adres CIDR gösterimi olmadan geçerli bir IPv4 adresi olmalıdır. Değişiklikler anında yürürlüğe girer ve yönetim bağlantısını geçici olarak kesebilir
reset	Erişim ayarlarını varsayılan yapılandırmasına sıfırlar. Sıfırlamadan sonra bağlantıyı kurmak için erişim ayarlarının init ile yeniden yapılandırılması gerekebilir

İkisi de erişimi kesebilir

Uç nokta açıklamaları her iki işlem için de aynı uyarıyı taşır: değişiklikler anında yürürlüğe girer ve yönetim bağlantısını kesebilir. Çalıştırmadan önce alternatif erişim yolu hazır olmalıdır.

Örnekler

TR7 WEB-CLI · A) HTTPS ve izinli ağ

admin@TR7LBWAF01> settings access update \

--https.0.ip <adres> --https.0.port 443 --httpsCert <sertifika> \

--httpsMinSslVersion TLSv1.2 --httpsMaxSslVersion TLSv1.3 \

--httpsAllowedNetworks.0.ip 10.0.1.0 --httpsAllowedNetworks.0.cidr 24

admin@TR7LBWAF01>  

TR7 WEB-CLI · B) Giriş koruması

admin@TR7LBWAF01> settings access update --tr7ServerCaptcha true --tr7ServerCaptchaDifficulty 2 \

--maxFailedLoginPerIp 10 --maxFailedLoginPerIpUsername 5 \

--failedLoginExpiresIn.val 1 --failedLoginExpiresIn.unit h \

--tr7ServerSessionDur.val 30 --tr7ServerSessionDur.unit m

 

# iki faktörlü kimlik doğrulama

admin@TR7LBWAF01> settings access update --2fa true --2faMethods email \

--2faUserTypes.0 superAdmin --2faNoContactPolicy block

admin@TR7LBWAF01>  

TR7 WEB-CLI · C) SNMP ve liste düzenleme

admin@TR7LBWAF01> settings access update --snmp.0.ip <adres> --snmp.0.port 161 \

--snmp_v3 true --snmp_v3_userPassList.0.username izleyici \

--snmp_v3_userPassList.0.authProtocol SHA --snmp_v3_userPassList.0.password <parola>

 

# tek girdiyi çıkarma · listeyi boşaltma

admin@TR7LBWAF01> settings access update --httpAllowedNetworks.1.delete

admin@TR7LBWAF01> settings access update --http.delete

admin@TR7LBWAF01>  

Bilinmesi Gerekenler

• Dinleme listesi boşaltılırsa hizmet sunulmaz. --<hizmet>.delete ile liste boşaltıldığında o hizmete erişim kapanır; HTTP yönetim erişimini bu yolla kapatmadan önce HTTPS ya da SSH yolunun açık olduğu doğrulanmalıdır.
• Sertifika ve TLS sürümleri HTTPS listesine bağlıdır. --httpsCert, --httpsMinSslVersion ve --httpsMaxSslVersion, en az bir HTTPS dinleme adresi tanımlı değilken listelenmez.
• SNMP sürüm anahtarları da listeye bağlıdır. --snmp_v1, --snmp_v2 ve --snmp_v3, en az bir SNMP dinleme adresi tanımlı değilken açılmaz.
• İki faktörlü doğrulamanın alt alanları koşulludur. Kanal, kullanıcı tipleri, muaf kullanıcılar ve iletişim adresi politikası yalnız --2fa true iken görünür.
• İzinli ağ listesi boş bırakılırsa sınır uygulanmaz. Liste tanımlanmadığında hizmet, dinlediği adrese ulaşabilen bütün isteklere açıktır. Her liste en çok 10 girdi alır.
• Adres seçimi varsayılan yönlendirme tablosuyla sınırlıdır. Dinleme adresi olarak yalnız o tablodaki ethernet arabirimlerine tanımlı adresler seçilebilir; adresler network ip ile tanımlanır.
• init ve reset seçeneksiz komutlardır. CLI düğümlerinde alan bulunmaz; ikisi de yönetim bağlantısını kesebilecek işlemlerdir.
• Liste alanları tek tek ya da toptan silinebilir. --<alan>.N.delete tek girdiyi çıkarır, --<alan>.delete listeyi boşaltır.