IP adresi tek başına yeterli değildir; trafiğin ülkesi ve ASN bağlamı erişim kararının parçası olmalıdır.
Birçok kurumun üretim trafiği belirli ülkelerden, belirli iş ortaklarından veya belirli ağ bloklarından gelir. Buna rağmen saldırı trafiği dünyanın farklı bölgelerinden, barındırma sağlayıcılarından, konut proxy ağlarından veya kötüye kullanılan ASN'lerden kaynaklanabilir. Sadece IP adresi veya basit blok listeyle karar vermek, bu bağlamı görmezden gelir.
Ülke bazlı erişim kontrolü özellikle kamu, finans, sağlık ve yerel hizmet sunan uygulamalarda kritik olabilir. Eğer servis yalnızca belirli ülkedeki kullanıcılar için tasarlanmışsa, tüm dünyaya açık bırakmak gereksiz saldırı yüzeyi üretir. Ancak bu kontrolün dış bir GeoIP servisine bağlı olması, hem gecikme hem de veri bağımlılığı riski doğurur.
ASN bilgisi de ülke bilgisi kadar önemlidir. Aynı ülkeden gelen kullanıcı trafiği ile büyük barındırma ağlarından, otomasyon altyapılarından veya kötüye kullanılan sağlayıcılardan gelen trafik aynı riskte değildir. Sadece coğrafi konuma bakmak saldırı yüzeyini daraltır; fakat ASN bağlamı olmadan kaynak tipini anlamak eksik kalır.
Çoklu kiracı ve namespace ayrımı olan yapılarda problem daha da büyür. Her tenant aynı ülke politikasını kullanmayabilir; bir kiracı yalnızca Türkiye'den erişim isterken, başka bir kiracı Avrupa ve özel partner ağlarına izin verebilir. Bu durumda ülke setlerinin namespace bazında ayrı hazırlanması ve gereksiz setlerin yüklenmemesi gerekir.
TR7 GeoIP/ASN Erişim Kontrolü, yerel GeoIP veritabanı dosyaları, namespace bazlı ülke ipset senkronizasyonu, IPv4/IPv6 setleri, L7 GeoIP görünürlüğü ve WAAP log zenginleştirmesiyle IP adresini erişim kararına uygun bağlama dönüştürür.
Yaklaşımımız
TR7, GeoIP ve ASN kararlarını dış sorgu servislerine bağımlı olmadan, yerel veri tabanı ve katmanlı politika uygulamasıyla yönetir.
Offline GeoIP veritabanı dosyaları lokal sorgu sağlar
GeoLite2 Country, City ve ASN veritabanları TR7 üzerinde `/geoDB` altında tutulur. Ülke, şehir ve ASN sorguları cihaz üzerinde yapılır; karar anında dış internet servisine ihtiyaç duyulmaz.
L3/L4 ipset eşleşmesi ülke engellemeyi hızlandırır
Ülke bazlı firewall kuralları IPv4 ve IPv6 ipset setleriyle uygulanır. Belirli ülke setleri namespace başına hazırlanır ve trafik erken aşamada drop, reject veya log kararına bağlanabilir.
vService bazında GeoIP politikası daha granüler kontrol sunar
Aynı platformda farklı vService'ler farklı ülke ve ASN risk politikalarıyla çalışabilir. Ülke whitelist, blacklist, CAPTCHA, rate-limit ve WAAP log zenginleştirmesi servis ihtiyacına göre birlikte kullanılabilir.
Smart sync yalnızca kullanılan ülke setlerini aktarır
TR7, her namespace'e tüm ülke setlerini kör biçimde yüklemek yerine yalnızca kuralda kullanılan ülkeleri hazırlar. Bu yaklaşım RAM kullanımını, hazırlık süresini ve gereksiz ipset yükünü azaltır.
Yetenekler
GeoIP/ASN Erişim Kontrolü, yerel lookup, ipset tabanlı ülke politikası, cache, namespace ayrımı ve WAAP görünürlüğünü bir araya getirir.
GeoLite2 Country ile IP adresinden ülke ve kıta bilgisi alınır
TR7, istemci IP adresi için iki harfli ISO 3166-1 ülke kodu, geoname_id ve kıta bilgisi üretebilir. Bu bilgi hem L3/L4 erişim kararlarında hem L7 log zenginleştirme süreçlerinde kullanılabilir. Örneğin yalnızca belirli ülkelerden gelen trafiğe izin verilebilir veya riskli ülke grupları için daha sıkı politika uygulanabilir. Sorgu lokal MMDB üzerinden yapıldığı için dış servise bağımlılık oluşmaz.
GeoLite2 City ile şehir bilgisi log ve analiz bağlamına eklenir
City veritabanı IP adresine şehir ve geoname_id bağlamı ekler. Şehir bilgisi çoğu zaman doğrudan firewall kararından çok analiz, raporlama ve olay inceleme tarafında değerlidir. WAAP olaylarında saldırının ülke ve şehir dağılımı daha anlamlı şekilde görülebilir. Bu bağlam, güvenlik ekibinin saldırı dalgasının coğrafi profilini daha hızlı anlamasına yardımcı olur.
Adres listeleriyle değil, ağ türleriyle yazılan erişim kuralları
Bir erişim kuralı ülke ve ASN'nin yanında ağın ne olduğunu da söyleyebilir: büyük bulut, genel hosting, CDN, doğrulanmış bot, Tor çıkışı, konut ya da mobil/CGNAT — toplam 21 tür. "Veri merkezi trafiğini yavaşlat, Tor'u sınamaya al, mobil operatörlere hiç dokunma" cümlesi, birinin güncel tutmak zorunda olduğu otuz adres listesi yerine üç kural olur; alttaki aralıklar değiştiğinde de kural anlamını korur.
GeoLite2 ASN ile kaynak ağ ve organizasyon görünür olur
ASN lookup, IP adresi için otonom sistem numarası, organizasyon adı ve ağ CIDR bilgisini döndürür. Bu veri, trafiğin ev kullanıcısı ağı mı, barındırma sağlayıcısı mı, kurumsal ağ mı olduğunu anlamaya yardımcı olur. ASN bilgisi WAAP logları ve canlı izleme içinde risk analizi için kullanılabilir.
Private IP ve bilinmeyen kaynaklar özel etiketlerle ayrıştırılır
RFC1918, loopback ve lokal adresler otomatik olarak özel kategoriye alınabilir. TR7 bu tür kaynakları `XX` gibi lokal etiketlerle raporlayabilir; bilinmeyen veya eşleşmeyen adresler de `--` etiketiyle ayrı kategoriyle gösterilebilir. Bu ayrım, iç ağ trafiği ile gerçek dış kaynak trafiğinin karışmasını önler. Denetim raporlarında "bilinmeyen", "lokal" ve gerçek ülke kodları net biçimde ayrışır.
Namespace başına yalnız gerekli ülke ipset'leri hazırlanır
Smart per-namespace sync, her namespace için sadece ilgili firewall kurallarında kullanılan ülke setlerini oluşturur. Örneğin bir tenant yalnızca TR, DE ve US için kural kullanıyorsa yalnızca bu setler hazırlanır. Bu yaklaşım 250+ ülkenin tamamını her namespace'e yükleme ihtiyacını ortadan kaldırır. Çoklu kiracı yapılarda bellek, hazırlık süresi ve operasyon karmaşıklığı düşer.
IPv4 ve IPv6 ülke setleri paralel biçimde yönetilir
Her ülke için IPv4 ve IPv6 setleri ayrı ama birlikte ele alınır. Bu sayede yalnızca IPv4 trafiğini kontrol edip IPv6 yolunu açık bırakma hatası azaltılır. Ülke kuralı tanımlandığında ilgili v4 ve v6 kapsamı birlikte düşünülür. Modern çift-yığın ağlarda erişim kontrolü için bu ayrım kritiktir.
NodeCache ile sıcak IP sorguları tekrar MMDB okuması yapmaz
TR7, sık görülen IP adresleri için 10.000 key kapasiteli ve 600 saniye TTL değerine sahip cache profili kullanabilir. Sıcak IP'ler her istekte yeniden MMDB lookup'a gitmeden hızlıca cevaplanır. Bu, özellikle aynı müşteri ağlarından gelen yoğun trafikte gecikmeyi azaltır. Cache yerel çalıştığı için dış sorgu ücreti veya internet erişimi gerekmez.
WAAP logları ülke ve şehir bilgisiyle otomatik zenginleşir
GeoIP lookup yalnızca firewall drop kararı için kullanılmaz; WAAP olaylarında ülke ve şehir bilgisi loglara eklenebilir. Saldırı ülkeleri agregasyonu, olay trendleri ve SIEM raporları bu veriden beslenir. Güvenlik ekibi hangi ülkelerden hangi saldırı tiplerinin geldiğini daha kolay görür. Bu görünürlük politika ayarlarını kanıta dayalı yapmayı kolaylaştırır.
Ülke setleri ve blacklist verileri lokal dosyalardan yönetilir
Ülke ipset verileri `/geoDB/countries.ipset` gibi lokal dosyalardan parse edilerek hazırlanabilir. İtibar veya blacklist setleri de ayrı dosya yoluyla yönetilebilir. Bu yapı, internet erişimi kısıtlı veya tamamen kapalı ortamlarda bile erişim kontrolünün çalışmasını sağlar. Güncelleme süreci kurumun kendi bakım penceresine göre planlanabilir.
Pasif düğüme senkronizasyon yüksek erişilebilirlik sürekliliği sağlar
Küme yapılarında ipset ve ilgili GeoIP verilerinin pasif düğüme aktarılması gerekir. TR7, ülke setleri ve değişikliklerin pasif node tarafına senkronize edilmesini destekleyen bir işletim modeli sunar. Failover olduğunda yeni aktif düğüm aynı ülke politikasıyla trafiği karşılamaya devam eder. Böylece GeoIP erişim kontrolü tek düğüm davranışına bağlı kalmaz.
Operasyonel derinlik
GeoIP/ASN erişim kontrolü; GeoIP okuyucu modeli, cache profili, ipset dosya yönetimi, background restore, gerekli set çıkarımı ve force mode güncellemesiyle birlikte işletilir.
GeoIP okuyucu modeli
TR7, country, city ve ASN lookup için prefix-length destekli GeoIP MMDB okuyucularını kullanır. IP adresinin hangi ağa düştüğü bilgisi bu yöntemle alınabilir. Model hem IPv4 hem IPv6 adreslerinde çalışır.
Cache profili
Cache profili 10.000 key kapasite, 600 saniye standart TTL ve 120 saniye kontrol periyodu ile çalışabilir. Gereksiz kopyalama maliyeti azaltılır. Bu yapı yoğun ve tekrarlı IP sorgularında hızlı yanıt sağlar.
Country ipset kaynakları
Ülke setleri `/geoDB/countries.ipset` dosyasından, blacklist setleri ise ayrı bir blacklist dosyasından yönetilebilir. Dosyalar lokal olduğu için cihaz dışı sorgu gerekmez. Güncelleme ve rollback operasyonları dosya ve restore süreci üzerinden planlanabilir.
Background restore stratejisi
Ipset doldurma işlemi arka planda çalıştırılarak UI akışı gereksiz bekletilmez. Batch işleme ile setler kontrollü biçimde hazırlanır. Büyük ülke setlerinde bu yaklaşım yönetim deneyimini daha akıcı hale getirir.
Gerekli set çıkarımı
Firewall kuralları ve namespace güvenlik haritası incelenerek her namespace için hangi ülke setlerinin gerektiği çıkarılır. Smart sync bu listeye göre çalışır. Böylece kullanılmayan ülke setleri ilgili namespace'e yüklenmez.
Force mode güncelleme
Force mode etkinleştirildiğinde cache dikkate alınmadan parse ve push işlemi yeniden yapılabilir. Bu mod, GeoIP veri güncellemesi, kural değişikliği veya set tutarsızlığı şüphesinde kullanışlıdır. Normal işletimde gereksiz yeniden yüklemeyi azaltmak için cache ve smart sync tercih edilir.
Hangi senaryolarda kullanılır
Yerel bankacılık servisinde ülke bazlı erişim sınırı
Banka yalnızca Türkiye ve belirli Avrupa ülkelerinden gelen kullanıcı trafiğine izin vermek isteyebilir. TR7 ülke ipset'leriyle diğer ülkeleri erken aşamada drop veya reject kararına bağlar. Roaming veya istisna gereken müşteriler için daha yumuşak fallback politikaları eklenebilir.
Devlet portalında yurtdışı erişimi kapatma
Kamu portalı yalnızca Türkiye ve lokal ağlardan erişim kabul edecek şekilde yapılandırılabilir. `XX` etiketi lokal/private kaynakları ayırır; gerçek dış ülke trafiği ise ülke setleriyle engellenir. Denetimlerde hangi ülke trafiğinin düştüğü loglardan gösterilebilir.
Cloud kaynaklı login riskini ASN görünürlüğüyle analiz etme
SaaS uygulaması login endpoint'ine gelen trafiğin ASN bilgisini WAAP loglarında izleyebilir. Barındırma ağlarından gelen olağandışı login denemeleri CAPTCHA, rate-limit veya özel WAAP politikalarıyla birlikte değerlendirilebilir. ASN görünürlüğü, yalnızca ülke bazlı karardan daha zengin risk bağlamı sağlar.
DDoS sırasında üst kaynak ülkelere sıkılaştırma uygulama
Trafik artışı belirli ülkelerde yoğunlaşıyorsa TR7 bu ülkeler için geçici drop, reject veya daha sıkı rate-limit politikalarına geçebilir. Ülke setleri hazır olduğu için karar erken trafik katmanında uygulanır. Operasyon ekibi saldırı dalgasını kaynak ülke dağılımıyla birlikte izleyebilir.
Sık sorulanlar
GeoIP veritabanları internet bağlantısı olmadan çalışır mı?
Ülke bazlı ipset kuralları çoklu kiracı yapılarda nasıl çalışır?
IPv6 adresleri de GeoIP sorgulamasına dahil midir?
ASN bilgisi L3/L4 firewall kuralında doğrudan kullanılabilir mi?
GeoIP veritabanları nasıl güncellenir?
Private IP ve bilinmeyen adresler GeoIP sorgulamalarında nasıl işlenir?
Ülke ve ASN bilgisini erişim politikasına dönüştürün
Lokal GeoIP veritabanı, namespace bazlı ipset senkronizasyonu ve WAAP log zenginleştirmesiyle tam denetlenebilir erişim kontrolü. Kendi ortamınızda canlı kurulumu birlikte gezebiliriz.