Bölüm 1

Genel Bakış ve Mimari

Reverse Proxy modunun tanımı, Non-Transparent ve Transparent mimarilerin karşılaştırılması, trafik akışı ve avantajlar.

10

BÖLÜM

2

DEPLOYMENT TİPİ

v15.4

WAF GW SÜRÜM

RP

PROXY MODU

1.1 Reverse Proxy Modu Nedir?

Reverse Proxy, web trafiğinin sunucuya ulaşmadan önce üzerinden geçtiği bir ara katmandır. SecureSphere Gateway, sniffing yapmayan modda Reverse Proxy olarak yapılandırılabilir. İki deployment tipi mevcuttur:

🔀

Non-Transparent RP

İstemciler Gateway IP adresine doğrudan bağlanır. Gateway hem istemci hem sunucu tarafından görünürdür.

👁️

Transparent RP (TRP)

Gateway trafiği bridge modunda şeffaf olarak yakalar. İstemci proxy'nin farkında değildir.

🔒

SSL Termination

SSL/TLS oturumlarını Gateway üzerinde sonlandırarak sunucu yükünü azaltır.

🍪

Cookie Signing

Cookie'leri imzalama ve şifreleme yeteneği ile oturum güvenliğini artırır.

1.2 Non-Transparent Reverse Proxy Mimarisi

Non-Transparent Reverse Proxy deployment yapısında Gateway hem istemci hem sunucu tarafından görünürdür. Belirtilen portlarda dinleme yapar, diğer tüm trafiği yoksayar.

Trafik Akışı

1

İstek Alımı

İstemci, SecureSphere Gateway'in inbound IP adresine paket gönderir

2

İnceleme & Karar

Gateway paketleri inceler, decision rule'lara göre sunucuya ikinci bağlantı açar

3

IP Dönüşümü

Paket kaynak IP'si Gateway'in outbound IP'sine, hedef IP gerçek sunucu IP'sine değiştirilir

4

Sunucu Yanıtı

Sunucu dönüş paketlerini Gateway'e gönderir; Gateway inceler ve istemciye iletir

Not

One-Arm deployment'ta inbound ve outbound arayüzler aynı fiziksel/sanal NIC'tir. Tüm trafik tek bir arayüz üzerinden giriş-çıkış yapar.

1.3 Transparent Reverse Proxy (TRP) Mimarisi

Transparent Reverse Proxy'de istemci proxy'nin farkında değildir. Gateway bridge modunda çalışır ve belirli sunucular için ek olarak Reverse Proxy işlevi görür.

TRP Trafik Akışı

1

Doğrudan Bağlantı

İstemci, sunucunun gerçek IP adresine paket gönderir (ör. 12.1.1.10)

2

Şeffaf Yakalama

SecureSphere Gateway o sunucuya yönelik bağlantıları şeffaf olarak yakalar

3

Proxy İşlemi

Gateway istemci bağlantısını ele geçirir, sonlandırır ve istemci adına sunucuya yeni bağlantı açar

4

Şeffaf İletim

Sunucu bağlantıları istemcinin gerçek IP'sinden gelmiş gibi görür; dönüş trafiği gateway üzerinden geçer

Kritik

Transparent Reverse Proxy modu kullanılırken appliance üzerinde default gateway mutlaka yapılandırılmalıdır.

1.4 Reverse Proxy Modunun Avantajları

🔍

Tam Mesaj İncelemesi

Paketleri tam mesajlara birleştirir; sunucuya iletmeden önce politika uyumluluğunu denetler

🔐

SSL Offloading

SSL decryption sunucudan Gateway'e aktarılır. Trafik yalnızca bir kez decrypt edilir

🌐

Çoklu Subnet Desteği

Birden fazla alt ağdaki web sunucularını ağ yeniden yapılandırması gerektirmeden korur

✍️

Veri Değişikliği

Cookie signing/şifreleme, hedef IP değişikliği gerektiren özellikleri destekler

⚡

Gelişmiş Proxy

Bağlantı sonlandırma ve SSL sonlandırma dahil gelişmiş proxy işlevselliği

🏗️

Legacy Uyumluluk

Ağ yeniden yapılandırması gerektirmeden mevcut (legacy) ortamlarda uygulanabilir

1.5 Sınırlamalar ve Dikkat Edilmesi Gerekenler

Non-Transparent modda Gateway arızalanırsa web sunucu erişilemez hale gelir (HA önerilir)
Multi-part olmayan maksimum POST istek boyutu: 2 MB
Var olmayan sayfa veya kapalı sunucu, alert olmadan engelleme yanıtı döndürür (saldırı olarak sınıflandırılmaz)
Sanal makineler yalnızca Fail Close modunu destekler (donanım bypass bileşeni yoktur)
Model başına önerilen maksimum reverse proxy kuralı sayısı değişir (Ek A'ya bakınız)

Bölüm 2

Ön Gereksinimler ve Planlama

Bileşen mimarisi, donanım/VM gereksinimleri, ağ planlama kontrol listesi, gerekli firewall portları ve yazılım indirmeleri.

2

BİLEŞEN

160 GB

MİN DISK

10

FW PORT KURALI

OVF/KVM

KURULUM TİPİ

2.1 Bileşen Mimarisi

SecureSphere, AYRI makinelere deploy edilen iki bileşen gerektirir (yalnızca dağıtık deployment):

🖥️

Management Server (MX)

Merkezi yönetim konsolu, GUI, politika motoru ve raporlama. Port 8083 üzerinden erişim.

🛡️

Gateway (GW)

Trafik inceleme motoru, reverse proxy ve politika uygulama katmanı.

🔗

MX–GW İletişim

Gateway, MX'e TCP 8083 üzerinden HTTPS ile bağlanır. Ayrı ağ varsa firewall gerekli değil.

☁️

ADC / ThreatRadar

İmza ve içerik güncellemeleri için MX → imperva.com/impervacloud.com TCP 443.

Not

Imperva WAF Virtual Appliance tarafından yalnızca dağıtık deployment'lar (MX ve Gateway ayrı VM'lerde) desteklenir.

2.2 Donanım/VM Gereksinimleri

VMware ESXi Host Gereksinimleri

Bileşen	Gereksinim
Hypervisor	VMware ESX/ESXi 6.x, 7.0, 8.0; VM Version 9+
Processor	Dual-core server Intel VTx veya AMD-V
Network Interface	Hypervisor destekli arayüz kartı
VM Guest OS	RHEL 7 (64 bit)
Ethernet Adapter	Yalnızca VMXNET 3

Gateway VM Özellikleri

Özellik	V4500	V2500	V1000
CPU	8 core	4 core	2 core
Memory	16 GB	8 GB	8 GB
Min Disk	160 GB	160 GB	160 GB

Management Server (MX) VM Özellikleri

Özellik	VM150
CPU	4 core
Memory	8 GB (maks 32 GB)
Min Disk	160 GB

Linux KVM Gereksinimleri

Bileşen	Gereksinim
Hypervisor	KVM (Intel VT-x veya AMD-V)
Network Interface	Tek veya çift Intel NIC
Gateway V2500	4 core, 8 GB RAM, 160 GB disk
MX VM150	4 core, 8 GB RAM, 160 GB disk
Image Format	QCOW2

2.3 Ağ Planlama Kontrol Listesi

Deployment'a başlamadan önce aşağıdaki bilgileri hazırlayın:

Management Server (MX) management arayüzü için IP adresi
Gateway management arayüzü için IP adresi
Gateway inbound (harici/istemci tarafı) arayüz IP adresleri
Gateway outbound (dahili/sunucu tarafı) arayüz IP adresleri
Default gateway IP adresi
DNS sunucu IP adresleri
NTP sunucu IP adresleri
Alt ağ maskeleri (CIDR notasyonu)
Korunacak web sunucu IP adresleri ve portları
SSL sertifikaları ve özel anahtarlar (SSL sonlandırma yapılacaksa)
Lisans dosyası (Imperva'dan Enterprise License Code)
MX ve Gateway için hostname (kısa veya FQDN formatı)
Zaman dilimi bilgisi

2.4 Gerekli Firewall Portları

SecureSphere bileşenleri arasında aşağıdaki portları açın:

Kaynak	Hedef	Port	Protokol	Amaç
Gateway	MX	TCP 8083	HTTPS	Gateway-MX iletişimi
MX	Gateway	TCP 22	SSH	MX-Gateway yönetimi
MX	Gateway	TCP 443	HTTPS	MX-Gateway yönetimi
Desktop	MX	TCP 8083	HTTPS	GUI erişimi
Desktop	MX	TCP 22	SSH	CLI erişimi
MX/GW	DNS Server	TCP/UDP 53	DNS	İsim çözümleme
MX/GW	NTP Server	UDP 123	NTP	Zaman senkronizasyonu
MX	www.imperva.com	TCP 443	HTTPS	ADC/imza güncellemeleri
MX	*.impervacloud.com	TCP 443	HTTPS	ThreatRadar güncellemeleri
Client	Gateway (RP)	TCP 80/443	HTTP/S	Web trafiği (değişken)

Not

Gateway ve MX arasında özel bir ağ varsa (çapraz kablo veya ayrılmış switch), aralarında firewall port açma gerekli değildir.

2.5 Yazılım İndirmeleri

VMware OVF:

pathImperva Customer Portal > Downloads > Imperva_WAF/Setup/v15/v15.4/<Patch#>/VM

KVM QCOW2:

pathImperva Customer Portal > Downloads > Imperva_WAF/Setup/v15/v15.4/<Patch#>/KVM

Not

Tüm ürünler ve modeller için tek bir OVF/QCOW2 dosyası mevcuttur. Model, deployment yapılandırması sırasında seçilir.

Bölüm 3

Management Server (MX) Kurulumu

MX sanal makinesinin VMware ve KVM ortamlarına deploy edilmesi, First-Time Login, GUI erişimi ve lisans yükleme adımları.

📦

VMware OVF Deploy

vSphere Client üzerinden OVF şablonu ile VM150 modelinde MX deploy edilir

🐧

KVM QCOW2 Deploy

Linux KVM ortamında QCOW2 imajından virt-manager ile kurulum yapılır

🔑

First-Time Login

ftl komutu ile ilk yapılandırma: ağ, şifre, hostname, NTP ayarları

📋

Lisans Yükleme

GUI port 8083 üzerinden EULA kabul ve Enterprise License Code aktivasyonu

3.1 MX Sanal Makinesini Deploy Etme

VMware (vSphere Client)

VMware vSphere client'ı başlatın
Menüden File > Deploy OVF Template seçin
Deploy OVF Template penceresinde OVF kurulum dosyasını seçin
Next tıklayın. OVF şablon detayları görüntülenir
Next tıklayın. Son Kullanıcı Lisans Sözleşmesi görüntülenir
Accept tıklayın, sonra Next
VM için bir isim girin (ör. Imperva-MX-v15.4) ve Next
Deployment Configuration olarak VM150 seçin ve Next
Bir host veya cluster seçin ve Next
Cluster içinde belirli bir host seçin ve Next
Bir resource pool seçin ve Next
Hedef storage'ı seçin ve Next
Virtual disk formatını seçin ve Next
Network Mapping: Varsayılanları kabul edin (sonra yapılandırılacak) ve Next
IPv4 adresi, CIDR ve default gateway IP adresini girin
Next tıklayın
Yapılandırma özetini gözden geçirin ve Finish tıklayın

Linux KVM

Imperva Customer Portal'dan KVM QCOW2 imajını indirin
QEMU yüklü host üzerinde çalıştırın: virt-manager
Yeni VM oluştur > "Import existing disk image" seçin > Forward
İndirilen QCOW2 imajını seçin
OS tipi: Linux, Version: CentOS 7
RAM: 8 GB, CPU: 4 core > Forward
Makine adı girin (ör. Imperva-MX-v15.4)
Network Selection'ı genişletin ve management network'ü seçin
Finish tıklayın. KVM sunucu oluşturulur

Kritik

Ağ yapılandırılmadan önce KVM'i başlatmayın.

Host makinede bridge network tanım dosyası (bridge.xml) oluşturun
Network tanımlayın: virsh net-define ./bridge.xml
Network'ü başlatın: virsh net-start br0
Autostart ayarlayın: virsh net-autostart br0
Doğrulayın: virsh net-list --all
KVM'i br0 bridge arayüzü ve virtio device model ile yapılandırın
VM'i başlatın

xml <network> <name>br0</name> <forward mode="bridge"/> <bridge name="br0" /> </network>

3.2 Management Server (MX) First-Time Login

MX VM deploy edildikten sonra sistemi yapılandırmak için First-Time Login (FTL) işlemini gerçekleştirin:

MX sanal cihazını console penceresinde açın
Giriş: kullanıcı adı: admin, şifre: admin
Admin şifresini hemen değiştirin

Not

Şifre gereksinimleri: Min 7 karakter, maks 14 karakter. En az 1 rakam, 1 büyük harf ve 1 özel karakter (* + = # % ^ : / ~ . , [ ] _) içermelidir. Arka arkaya 2'den fazla karakter tekrarı olamaz.

ftl komutunu çalıştırarak First-Time Login'i başlatın
Bileşen seçim menüsünde 1 yazarak "Management Server only" seçin ve Enter'a basın

Management Arayüzünü Ayarlama

"Do you want to change it?" satırında n (OVF'de IP ayarlandıysa) veya y girin
"IP Address [IP Address/CIDR]" satırında IP adresini girin. Örnek: 192.168.1.1/24
"Do you want to set IPv6 Address as well?" satırında n girin

LAN Arayüzünü Ayarlama

"Do you want to set a LAN interface?" satırında y girin
"Do you want to change it?" satırında n (veya değiştirmek için y) girin
"IP Address [IP Address/CIDR]" satırında LAN IP'sini girin. Örnek: 192.168.5.5/24
"Do you want to set IPv6 Address as well?" satırında n girin

Default Gateway Ayarlama (Önerilen)

"Do you want to set an IPv4 default gateway?" satırında y girin
"Gateway [IPv4 Address]" satırında gateway IP'sini girin. Örnek: 192.168.1.254
"Do you want to specify a device?" satırında n girin

DNS Client Ayarlama

"Do you want to configure a DNS client?" satırında y (önerilen) veya n girin

Şifreleri Ayarlama

Linux root kullanıcısı için yeni şifre girin (GRUB bootloader şifresi olarak da kullanılır). Tekrar girin
Administrative kullanıcı için yeni şifre girin. Tekrar girin
System kullanıcısı (veritabanı yöneticisi) için yeni şifre girin. Tekrar girin

Hostname Ayarlama

Host için bir isim girin (kısa ad veya FQDN formatı)

Not

FQDN kuralları: Ayırıcı olarak nokta (.) kullanın. Her bölüm bir harf ile başlamalı, en az 2 karakter (harf, rakam veya tire) içermeli ve bir harf veya rakam ile bitmelidir.

Zaman Dilimi Ayarlama

Numaralı listeden kıta/okyanus seçin
Numaralı listeden ülke seçin
Onaylayın: "Is the above information OK?" > 1 (yes) girin

NTP Ayarlama (Önerilen)

"Do you want to configure an NTP client?" satırında y girin
"NTP servers" satırında bir veya daha fazla IPv4 adresi girin (boşlukla ayrılmış). Örnek: 192.168.2.250

Sistem Yapılandırmasını Uygulama

Sistem yapılandırmasını uygulamak için Enter'a basın

Kritik

Sistem yapılandırması uygulama işlemi yaklaşık 10 dakika sürebilir. Yapılandırma işlemi sırasında cihazı yeniden başlatmayın.

3.3 MX GUI Erişimi ve Lisans Yükleme

İnternet tarayıcısını açın ve şu adrese gidin: https://<MX_IP>:8083
EULA görüntülenir. Okuyun ve Accept tıklayın
GUI için Admin şifresi yapılandırın
Upload License penceresinde lisans almak için "here" bağlantısına tıklayın
Imperva Activation Portal açılır. MX Application ID otomatik doldurulur
Enterprise License Code'unuzu girin ("Welcome Imperva WAF Customer" e-postasından)
E-posta adresinizi girin
EULA'yı okuyun ve Accept onay kutusunu işaretleyin
Doğrulama dizelerini girin
Activate tıklayın
Lisans dosyası için e-postanızı kontrol edin
Upload License penceresine dönün ve Browse ile lisans dosyasını seçin
Upload tıklayın
Yönlendirmelere göre devam edin

Bölüm 4

Gateway Kurulumu (Reverse Proxy)

Gateway VM deploy etme, NIC yapılandırması, First-Time Login, MX'e kayıt ve operasyon modu ayarlama.

4.1 Gateway Sanal Makinesini Deploy Etme

Bölüm 3.1'deki aynı OVF/KVM deployment adımlarını izleyin, şu farklarla:

Deployment Configuration olarak uygun Gateway modelini seçin (V1000, V2500 veya V4500)
Devam etmeden önce MX'in çalışır ve erişilebilir durumda olduğundan emin olun

Reverse Proxy için VMware NIC Yapılandırması

🔌

eth0 — Management

Network adapter 1. MX'e bağlantı için management network arayüzü.

⬇️

eth1 — Inbound

Network adapter 2. İstemci tarafı external trafik. One-Arm'da inbound+outbound için kullanılır.

⬆️

eth2 — Outbound

Network adapter 3. Sunucu tarafı internal trafik — yalnızca two-arm deployment.

🚫

eth3 — Kullanılmaz

Network adapter 4. RP modunda kullanılmaz, bağlantısı kesilebilir.

Not

One-Arm RP deployment için: hem inbound hem outbound trafik için eth1 kullanılır. VDS kullanılırken tüm port group'lar için Promiscuous Mode: Accept ayarlanmalıdır.

4.2 Gateway First-Time Login

Kritik

Gateway yapılandırılmadan önce MX'in çalışır durumda olduğundan emin olun.

1

Konsol Girişi

Gateway VM konsolunu açın. Giriş: admin / admin. Şifreyi hemen değiştirin.

2

FTL Başlatma

ftl komutunu çalıştırın. Bileşen seçiminde 3 yazarak "Gateway only" seçin.

3

Ağ Yapılandırma

Management arayüzü IP, LAN arayüzü, default gateway, DNS, NTP ayarlarını girin.

4

Yapılandırmayı Uygula

Enter'a basarak uygulayın. Yaklaşık 10 dakika bekleyin — yeniden başlatmayın.

Management Arayüzünü Ayarlama

"Do you want to change it?" > n veya y girin
IP Address [IP Address/CIDR] girin: ör. 192.168.1.10/24
IPv6: n girin

LAN Arayüzünü Ayarlama

"Do you want to set a LAN interface?" > y girin
IP Address [IP Address/CIDR] girin: ör. 10.0.1.10/24

Default Gateway, DNS, Şifreler, Hostname, Zaman Dilimi, NTP

Gateway'e özgü IP adreslerini kullanarak Bölüm 3.2'deki aynı prosedürü izleyin.

Yapılandırmayı Uygulama

Sistem yapılandırmasını uygulamak için Enter'a basın

Kritik

Yaklaşık 10 dakika bekleyin. Bu süreçte yeniden başlatmayın.

4.3 Gateway'i MX'e Kaydetme

FTL tamamlandıktan sonra Gateway'i kaydedin:

1

impcfg Bağlantısı

Gateway'e SSH veya console ile bağlanın. impcfg çalıştırın.

2

MX Adresi Tanımlama

Manage SecureSphere Gateway > Change Management Server address/password seçin. MX IP ve iletişim şifresini girin.

3

Kayıt İşlemi

Perform actions > Register/Unregister gateway (immediate) > Register seçin.

4

Doğrulama

Gateway artık MX GUI'de Setup > Gateways altında görünmelidir.

4.4 Gateway Operasyon Modunu Ayarlama

🔀

Reverse Proxy Modu

Non-Transparent RP için: impcfg > Manage SecureSphere Gateway > Change operation mode > Reverse Proxy

🌉

Bridge STP Modu

Transparent RP için: impcfg > Change operation mode > Bridge STP. Bridge modu zorunludur.

🔄

Bridge IMPVHA Modu

HA yapılandırması olan Transparent RP için Bridge IMPVHA seçeneği kullanılır.

Bölüm 5 — PART A

Non-Transparent Reverse Proxy Yapılandırması

Gateway Group oluşturma, IP adresi yapılandırma, alias tanımlama, site/server group/web service oluşturma, SSL, reverse proxy kuralları ve doğrulama.

11

YAPILANDIRMA ADIMI

Alias

IP EŞLEMESİ

Decision

YÖNLENDİRME KURALI

Active

OPERATION MODE

5.1 Adım 1: Gateway Group Oluşturma

MX GUI'ye giriş yapın: https://<MX_IP>:8083
Main > Setup > Gateways'e gidin
[+] simgesine tıklayarak yeni bir Gateway Group oluşturun
Parametreleri girin:
- Name: ör. RP-Gateway-Group
- Platform: Imperva
- Gateway Mode: Reverse Proxy
- Fail Mode: Fail Close
- Overload Policy: Block on Overload (önerilen)
Save tıklayın
Gateway'i bu Gateway Group'a sürükleyin/atayın

5.2 Adım 2: Gateway Üzerinde IP Adresi Yapılandırma

Main > Setup > Gateways'e gidin
Ağaçtan Gateway'inizi seçin
Networking altında IP Addresses tıklayın
[+] tıklayarak External (Inbound) IP ekleyin:
- Network Interface: İstemci tarafı arayüz (ör. eth1)
- IP Address/Mask (CIDR): ör. 203.0.113.10/24
- Virtual: İşaretlemeyin (HA için VRRP kullanmıyorsanız)
- Next Hop: Dönüş trafiği için default gateway (ör. 203.0.113.1)
- Comment: "External/Inbound IP"
OK tıklayın
[+] tekrar tıklayarak Internal (Outbound) IP ekleyin:
- Network Interface: Sunucu tarafı arayüz (ör. eth2)
- IP Address/Mask (CIDR): ör. 10.0.1.10/24
- Virtual: İşaretlemeyin
- Next Hop: Sunucular aynı subnet'teyse boş bırakın veya next hop girin
- Comment: "Internal/Outbound IP"
OK, sonra Close tıklayın

Not

One-Arm deployment için: Hem External hem Internal adreslerde aynı arayüzü (ör. eth1) kullanın.

5.3 Adım 3: Alias Yapılandırma

Alias'lar bir inbound IP adresini bir outbound IP adresiyle ilişkilendirir. IP adresleri değiştiğinde iki yerde (Gateway ve MX) değişiklik yapma ihtiyacını ortadan kaldırır.

Main > Setup > Gateways'e gidin, Gateway'inizi seçin
Networking altında Aliases tıklayın
[+] tıklayarak yeni alias oluşturun
Parametreleri girin:
- Alias Name: ör. web-server-alias-1
- Enabled: İşaretli
- External Address: Dropdown'dan inbound IP seçin (ör. 203.0.113.10)
- Internal Address: Dropdown'dan outbound IP seçin (ör. 10.0.1.10)
- Comment: "Alias for web server protection"
OK tıklayın
Korumak istediğiniz her ek web sunucu veya VIP için tekrarlayın
Close tıklayın

Not

One-Arm deployment için: External Address ve Internal Address aynı IP adresidir.

5.4 Adım 4: Route Yapılandırma (Gerekirse)

Backend web sunucuları Gateway'in outbound arayüzüyle aynı subnet'te değilse route yapılandırmanız gerekir:

Main > Setup > Gateways'e gidin, Gateway'inizi seçin
Networking altında Routes tıklayın
[+] tıklayın
Parametreleri girin:
- Type: Network (subnet için) veya Host (tek sunucu için)
- Destination Address / Mask: ör. 172.16.0.0/16
- Next Hop: ör. 10.0.1.1
- Virtual: İşaretlemeyin
- Network Interface: Outbound arayüzü seçin veya boş bırakın
- Metric: İsteğe bağlı
OK tıklayın. Ek route'lar için tekrarlayın. Close tıklayın

Kritik

Backend sunucu Gateway ile aynı ağda değilse, aradaki firewall'larda iletişime izin verildiğinden emin olun.

5.5 Adım 5: Site Oluşturma

Main > Setup > Sites'e gidin
Sites Tree'de [+] (New) tıklayın
Site adını girin: ör. Production-Web
Save tıklayın

5.6 Adım 6: Server Group Oluşturma

Sites Tree'de oluşturduğunuz site'ı seçin
[+] (New) tıklayarak Server Group oluşturun
İsim girin: ör. Web-Servers
Create tıklayın
Definitions sekmesinde Operation Mode: Active ayarlayın (ilk test için Simulation)
Korunan IP adreslerini ekleyin:
- "Add" veya "Upload from CSV" tıklayın
- Gerçek web sunucu IP adresini girin: ör. 10.0.1.100
Gateway Group'a atayın: RP-Gateway-Group seçin
Save tıklayın

Kritik

Operation Mode "Disabled" olarak ayarlanırsa Reverse Proxy Gateway o server group'a giden tüm trafiği engeller.

5.7 Adım 7: Web Service Oluşturma

Sites Tree'de Server Group'u seçin
[+] (New) tıklayın
Servis adını girin: ör. HTTP-Service
Dropdown'dan seçin: HTTP Service
Create tıklayın. Varsayılan bir HTTP uygulaması otomatik oluşturulur
Save tıklayın

5.8 Adım 8: SSL Key Ekleme (SSL Sonlandırma Yapılıyorsa)

HTTP Service panelinde Definitions sekmesine tıklayın
Encryption Support bölümünde [+] tıklayarak SSL Key ekleyin
Yükleyin:
- Private Key dosyası (.key)
- Sertifika dosyası (.crt/.pem)
Private key şifresini girin (varsa)
İsteğe bağlı olarak sertifika zinciri/CA bundle yükleyin
Save tıklayın

5.9 Adım 9: Reverse Proxy Kuralları Yapılandırma (TEMEL ADIM)

Bu en kritik yapılandırma adımıdır. Gateway'in gelen web trafiğini nasıl işleyeceğini burada tanımlarsınız.

Reverse Proxy Listener Yapılandırma

HTTP Service panelinde Reverse Proxy sekmesine tıklayın
Reverse Proxy bölümünde "Gateway IP Alias" yanındaki [+] tıklayın
Reverse Proxy Parametrelerini girin

Parametre	Açıklama
Gateway IP Alias	Dropdown'dan alias'ınızı seçin (ör. `web-server-alias-1`)
Gateway Ports	Dinleme portlarını girin. Ör. `443` veya birden fazla için `80,443`
SSL Negotiation Settings	İstemci-gateway şifreleme için TLS ayarlarını seçin
Server Certificate	İstemcilere sunulacak yüklenen SSL sertifikasını seçin
Client Auth Authorities	CA grubunu seçin (istemci sertifika doğrulaması kullanılıyorsa)
Report forwarded client address	X-Forwarded-For header'ına istemci IP'sini dahil etmek için işaretleyin

Decision Rule Yapılandırma

"Priority" yanındaki [+] tıklayarak Decision Rule oluşturun
Decision Rule Parametrelerini girin
Gerektiğinde daha fazla decision rule ekleyin (Priority 20, 30, vb.)
Save tıklayın

Parametre	Açıklama
Priority	10'un katlarını kullanın (10, 20, 30...) sonradan eklemeyi kolaylaştırmak için. İlk eşleşen kazanır.
External Hostname	Regex pattern (ör. `www\.example\.com`) veya "Any" seçin. Not: Bu alan regex kullanır — noktaları backslash ile escape edin.
URL Prefix	URL yol ön eki (ör. `/app/`) veya "Any" seçin
Internal IP/Hostname	Backend web sunucu IP (ör. `10.0.1.100`) veya hostname
Server Port	Backend web sunucu portu (ör. `8080`)
Encrypt	Gateway-sunucu bağlantısı şifrelenecekse (re-encrypt) işaretleyin
Server SSL Negotiation	Gateway-sunucu bağlantısı için TLS ayarları
Client Certificates	Backend sunucuya gönderilecek istemci sertifikası (gerekirse)
Validate Server Certificate	Backend sunucunun SSL sertifikasını doğrulamak için işaretleyin

Kritik

Decision rule'lar önceliğe göre sırayla değerlendirilir. İlk eşleşen kazanır. Hiçbir kuralla eşleşmeyen bağlantı Gateway tarafından yoksayılır.

Not

URL Rewrite, decision rule'lardan önce uygulanır. Decision rule'lar Load Balancer olarak çalışmaz — eşleşen sunucu erişilemezse trafik başka sunucuya yönlendirilmez.

Not

External Hostname ve URL Prefix birlikte kullanıldığında aralarındaki işlem AND'dir.

5.10 Adım 10: Ayarları Aktive Etme

Delayed activation modu etkinse yapılandırmayı göndermek için Activate butonuna tıklayın
Immediate modda ayarlar Save ile yürürlüğe girer

5.11 Adım 11: Deployment'ı Doğrulama

Bir istemci makineden erişin: https://<Gateway_External_IP>/ (veya SSL olmayan için http://)
Backend web sunucunuzun içeriğinin gateway üzerinden sunulduğunu görmelisiniz
MX Dashboard'u kontrol edin (Main > Monitoring > Dashboard) — Gateway durumu yeşil/aktif olmalı
Main > Monitoring > Alerts'te uyarıları kontrol edin
Dashboard'da trafik akışını doğrulayın

Bölüm 6 — PART B

Transparent Reverse Proxy Yapılandırması

Default gateway doğrulama, bridge modu yapılandırma, TRP etkinleştirme ve doğrulama adımları.

6.1 Adım 1: Appliance Üzerinde Default Gateway Doğrulama

Kritik

Transparent Reverse Proxy, appliance üzerinde bir default gateway yapılandırılmasını zorunlu kılar.

Gateway'e SSH ile bağlanın
Çalıştırın: impcfg
Gidin: Manage platform > Network settings > Default gateway
IPv4 adresinin gösterildiğini doğrulayın
Adres gösterilmiyorsa: Manage network > Change IPv4 default gateway
Default gateway IP adresini girin

6.2 Adım 2: Appliance'ı Bridge Olarak Yapılandırma

Gateway üzerindeki impcfg'de: Manage SecureSphere Gateway > Change operation mode
Seçin: Bridge STP veya Bridge IMPVHA
Onaylayın ve uygulayın. Gateway kendini yeniden yapılandıracaktır (birkaç dakika sürebilir)

VMware Bridge NIC Yapılandırması

🌉

eth2 — Bridge Port 1

Network adapter 3. Sunucu tarafı bridge arayüzü. Promiscuous + MAC Changes + Forged Transmits: Accept.

🌉

eth3 — Bridge Port 2

Network adapter 4. İstemci tarafı bridge arayüzü. Aynı vSwitch ayarları gereklidir.

Kritik

Her iki bridge port group'u için Promiscuous Mode: Accept, MAC Address Changes: Accept ve Forged Transmits: Accept olmalıdır.

6.3 Adım 3–7: Gateway Group, Site, Server Group, Web Service

Henüz kayıtlı değilse Bölüm 4.3'teki adımları izleyerek Gateway'i MX'e kaydedin. Ardından:

3

Gateway Group

Name: TRP-Gateway-Group, Gateway Mode: STP Bridge veya IMPVHA Bridge, Fail Mode: Fail Close. Gateway'i gruba atayın.

4

Site Oluşturma

Sites Tree'den yeni site oluşturun: ör. Production-TRP

5

Server Group

Name: Web-Servers-TRP, Operation Mode: Active. Korunan IP adreslerini (ör. 12.1.1.10) ekleyin.

6

Web Service

Name: HTTP-Service-TRP, Type: HTTP Service. SSL gerekiyorsa Bölüm 5.8 prosedürünü izleyin.

6.4 Adım 8: Transparent Reverse Proxy'yi Etkinleştirme ve Yapılandırma

HTTP Service panelinde Reverse Proxy sekmesine tıklayın, "Enable Transparent Reverse Proxy" işaretleyin, ardından "Server IP" yanındaki [+] ile decision rule ekleyin.

Parametre	Açıklama
Server IP	Web sunucunun gerçek IP adresi (ör. `12.1.1.10`)
Ports	Proxy yapılacak portlar, virgülle ayrılmış (ör. `80,443`)
Client SSL Negotiation	İstemci-gateway bağlantısı için TLS ayarları
Server Certificate	İstemcilere sunulacak SSL sertifikası
Server Side Port	Gerçek web sunucu portu (ör. `8080`)
Encrypt Server Connection	Gateway-sunucu trafiğini şifrelemek için işaretleyin

Kritik

TRP kuralı ile başka bir servisin port yapılandırması arasında çakışma olursa TRP kuralı öncelik alır.

Uyarı

TRP'yi etkinleştirme/devre dışı bırakma bakım penceresi aksiyonu olarak değerlendirilmelidir — yeniden yapılandırma tamamlanana kadar mevcut trafiği kesintiye uğratır.

6.5 Adım 9–10: Aktive Etme ve Doğrulama

Delayed activation etkinse Activate tıklayın
İstemciden web sunucuya gerçek IP adresiyle erişin (gateway IP'si değil)
Trafik gateway üzerinden şeffaf olarak akmalıdır
MX Dashboard'da gateway durumunu kontrol edin
Monitoring > Alerts'te sorunları kontrol edin
Event log'larını kontrol ederek gateway'in trafiği incelediğini doğrulayın

Bölüm 7

Opsiyonel: SNI Yapılandırması

Server Name Indication yapılandırması ile tek IP adresinden birden fazla SSL sertifikası sunma.

🏷️

Tek IP, Çoklu Sertifika

SNI ile tek IPv4 adresinden birden fazla SSL sertifikası sunulabilir, IP tüketimi azalır

🔒

İstemci Tarafı SNI

İstemci → Gateway TLS bağlantılarında SNI etkinleştirilerek doğru sertifika seçilir

🔐

Sunucu Tarafı SNI

Gateway → Backend sunucu TLS bağlantılarında SNI desteği etkinleştirilebilir

⚠️

Strict Mode

Eşleşen sertifikası olmayan bağlantıları sonlandıran katı mod seçeneği

7.1 SNI Yapılandırma Adımları

1

Sertifikaları Ekle

Main > Setup > Sites > Web Service > Definitions > Encryption Support'ta farklı hostname'ler için tüm SSL sertifikalarını ekleyin. Save tıklayın.

2

SNI'yı Etkinleştir

Reverse Proxy sekmesine gidin. SNI Configuration altında istemci ve/veya sunucu tarafı SNI seçeneklerini işaretleyin.

3

Strict Mode (İsteğe Bağlı)

"Enable SNI in strict mode" etkinleştirin. Her RP kuralının varsayılan Server Certificate ayarlı olduğundan emin olun.

4

Kaydet & Doğrula

Save tıklayın. Expired sertifikaların önceden kaldırıldığından emin olun.

Kritik

SNI'ı etkinleştirmeden önce gateway yapılandırmasından süresi dolmuş sertifikaları kaldırın.

Bölüm 8

Opsiyonel: HSTS Yapılandırması

HTTP Strict Transport Security yapılandırması ile web sitelerinin yalnızca güvenli bağlantılar üzerinden erişilebilir olmasını sağlama.

8.1 HSTS Yapılandırma Adımları

HSTS, web sitelerinin kendilerini yalnızca güvenli bağlantılar üzerinden erişilebilir olarak ilan etmelerini sağlar. SecureSphere yalnızca Reverse Proxy olarak yapılandırılmış gateway'ler için HSTS destekler.

Kritik

Gateway üzerinde yapılandırılan management portu 443'ten farklı olmalıdır.

1

RP Kurallarını Hazırla

Setup > Sites > Web Service > Reverse Proxy: Port 443 kuralını doğrulayın, Port 80 için kopya kural oluşturun.

2

URL Rewrite Yapılandır

URL Rewrite Group oluşturun. Rule: HTTP-to-HTTPS-Redirect, Priority: 10, Redirect Client Requests işaretli, Protocol: HTTPS.

3

HSTS Header Ekle

Setup > Gateways > Gateway Group > Advanced Configuration'da [+] ile HSTS XML yapılandırmasını girin.

xml <hsts-config> <rule ip="<listener_IP>" port="443"> <hsts-params active="true" max-age="31536000" subdomain="true" preload="false" /> </rule> </hsts-config>

Kritik

HSTS yapılandırmasından sonra bir IP alias adresi veya portu değiştirirseniz XML'deki rule-ip ve port parametrelerini manuel olarak güncellemeniz gerekir.

Bölüm 9

Kurulum Sonrası Görevler

Güvenlik politikaları, dynamic profiling, loglama, ADC güncellemeleri ve gateway sağlık izleme.

🛡️

Güvenlik Politikaları

Site/server group/service'e varsayılan politikaları uygulayın. İlk aşamada Simulation modu önerilir.

📊

Dynamic Profiling

Web Profile Policy öğrenme modunu etkinleştirin. Profil ilerlemesini Sites > Web Profile'dan izleyin.

📋

Loglama & Uyarılar

Syslog yönlendirmesi ve e-posta bildirimleri yapılandırın. Action set'leri gözden geçirin.

🔄

ADC Güncellemeleri

Admin > ADC'den imza ve içerik güncellemeleri için online veya manuel senkronizasyon ayarlayın.

❤️

Sağlık İzleme

Dashboard'dan gateway durumu ve throughput, System Performance'dan CPU/bellek izleyin.

9.1 Güvenlik Politikalarını Uygulama

Main > Setup > Sites veya Main > Policies'e gidin
Site/server group/service'inize varsayılan güvenlik politikalarını uygulayın
Trafik kalıplarını öğrenmek için önce Simulation modunda başlamayı değerlendirin

9.2 Dynamic Profiling'i Etkinleştirme

Varsayılan Web Profile Policy öğrenme modunu otomatik etkinleştirir
Profil öğrenme ilerlemesini izleyin: Main > Setup > Sites > Web Profile

9.3 Loglama ve Uyarıları Yapılandırma

Varsayılan action set'leri gözden geçirin
Gerekiyorsa syslog yönlendirmesi yapılandırın (Setup > Gateways > Gateway Group > External Logger)
Kritik uyarılar için e-posta bildirimleri ayarlayın

9.4 ADC İçerik Yükleme

Admin > ADC'ye gidin
İmza/içerik güncellemeleri için online veya manuel senkronizasyon yapılandırın

9.5 Gateway Sağlığını İzleme

Main > Monitoring > Dashboard: Gateway durumu, throughput kontrol edin
Admin > System Performance: CPU, bellek kullanımını izleyin

Bölüm 10

Sorun Giderme ve Ekler

Yaygın sorunlar, CLI tanılama komutları, RP boyutlandırma önerileri ve CSV import formatları.

7

YAYGIN SORUN

6

CLI KOMUTU

3.000

MAX RP KURALI

11

CSV ALANI

10.1 Sorun Giderme Hızlı Referans

Belirti	Olası Neden	Çözüm
RP üzerinden web sunucuya erişilemiyor	Decision rule uyumsuzluğu	Alias, portlar, External Hostname regex, Internal IP doğrulayın
İstemcide SSL hataları	Yanlış sertifika veya TLS ayarları	Sertifikanın hostname ile eşleştiğini doğrulayın, TLS cipher ayarlarını kontrol edin
Gateway MX'te görünmüyor	Kayıt başarısız	Gateway'i yeniden kaydedin, IP/şifre kontrol edin, port 8083 doğrulayın
Tüm trafik engelleniyor	Server Group Disabled modda	Operation Mode'u Active veya Simulation olarak ayarlayın
TRP trafiği yakalamıyor	TRP etkin değil veya yanlış Server IP	Enable TRP onay kutusunu kontrol edin, Server IP doğrulayın
Bağlantı zaman aşımı	Yönlendirme sorunu	Route'ları, next hop'u, GW-backend arasındaki firewall kurallarını doğrulayın
Gateway çevrimdışı görünüyor	Ağ bağlantı sorunu	Management arayüzünü kontrol edin, MX-GW port 8083 iletişimini doğrulayın

10.2 CLI Tanılama Komutları

⚙️

impcfg

Ana yapılandırma aracı — ağ, gateway modu, platform ayarları

📡

impctl server status

Gateway servis durumunu kontrol etme

🔁

impctl server ha status

High Availability durumunu kontrol etme

🌐

ifconfig

Ağ arayüzü yapılandırması ve IP adreslerini doğrulama

🗺️

route -n

Yönlendirme tablosunu doğrulama

🔍

netstat -tlnp

Dinlenen portları doğrulama

10.3 Ek A: Reverse Proxy Boyutlandırma Önerileri

Model	Maks RP Kuralı	Önerilen RP Kuralı
M120	1.500	800'e kadar
M160	3.000	2.000'e kadar
M170	3.000	2.000'e kadar
M180	3.000	2.000'e kadar
VM150	3.000	2.000'e kadar

Not

Tek bir reverse proxy kuralı 100 inbound reverse proxy kuralını aşmamalıdır.

10.4 Ek B: Alias CSV Import Formatı

Alias'ları bir CSV dosyasından toplu olarak import edebilirsiniz. Her satır bir alias'ı temsil eder:

Alan #	Alan Adı	Örnek
1	Alias Name	web-alias-1
2	Enabled	0 veya 1
3	External IP Address (CIDR)	203.0.113.10/24
4	External IP Interface	eth1
5	External IP Next Hop	203.0.113.1
6	External IP Virtual Flag	0 veya 1
7	External IP VR ID	(sanal ise)
8	Internal IP Address (CIDR)	10.0.1.10/24
9	Internal IP Interface	eth2
10	Internal IP Next Hop	(gerekirse)
11	Comment	İsteğe bağlı metin

10.5 Ek C: Virtual Router CSV Import Formatı

HA ortamları için Virtual Router yapılandırmalarını CSV'den import edebilirsiniz:

Alan #	Alan Adı	Açıklama
1	VR ID	Virtual router tanımlayıcısı
2	Network Interface	ör. eth0, eth1
3	Primary IP Address (CIDR)	Virtual router için IP adresi
4	Default State	"Master" veya "Backup"

Not

HA için Virtual Router oluştururken: önce Backup Gateway için router'ı oluşturun, sonra Master Gateway için.

10.6 Deployment Tamamlanma Checklist

MX VM deploy edildi ve FTL tamamlandı___/___/___

MX GUI erişimi başarılı (port 8083)___/___/___

Lisans dosyası yüklendi___/___/___

Gateway VM deploy edildi ve FTL tamamlandı___/___/___

Gateway MX'e başarıyla register edildi___/___/___

Gateway operasyon modu ayarlandı (RP veya Bridge)___/___/___

Gateway Group oluşturuldu___/___/___

IP adresleri ve alias'lar yapılandırıldı___/___/___

Site ve Server Group oluşturuldu___/___/___

Web Service oluşturuldu___/___/___

SSL sertifikaları yüklendi (gerekiyorsa)___/___/___

Reverse Proxy kuralları yapılandırıldı___/___/___

SNI yapılandırıldı (gerekiyorsa)___/___/___

HSTS yapılandırıldı (gerekiyorsa)___/___/___

Güvenlik politikaları atandı___/___/___

İstemciden erişim doğrulandı___/___/___

Gateway Dashboard'da aktif görünüyor___/___/___

ADC güncellemeleri yapılandırıldı___/___/___