Güvenilir IP Muafiyetleri

Güvenlik kuralları bazen kendi ekibinizin araçlarını veya partner sistemlerini yanlışlıkla engelleyebilir. Güvenilir IP’leri doğru biçimde muaf tutmak hem güvenliği hem de operasyonel sürekliliği korur.

Temel Kurallar

# Ofis IP listesine tam izin ver — tüm kuralları atla
IF   ip.list in "office-ips"
THEN allow

# İzleme servislerini rate limit'ten muaf tut
IF   ip.list in "monitoring-services"
THEN bypassratelimit

# Partner sistemleri için CAPTCHA'yı atla
IF   ip.list in "trusted-partners"
THEN bypasscaptcha

Konsolda bu seçimlerle:

• Ofis listesine izin ver — Alan IP Listesi · Operatör listede · Değer office-ips → Aksiyon İzin Ver
• İzleme servislerini rate limit’ten muaf tut — Alan IP Listesi · Operatör listede · Değer monitoring-services → Aksiyon Rate Limit Muaf
• Partnerlere CAPTCHA muafiyeti — Alan IP Listesi · Operatör listede · Değer trusted-partners → Aksiyon CAPTCHA Muaf

allow aksiyonu kural zincirini tamamen durdurur ve isteği origin’e iletir. Ofis IP’leri için bu yaklaşım uygundur çünkü bu kaynaklardan gelen trafik zaten ağ düzeyinde denetlenmektedir.

bypassratelimit, isteği rate limit sayacından muaf tutarken diğer kural katmanlarının çalışmasına izin verir. Prometheus, Datadog veya benzeri izleme servisleri sık aralıklarla istek gönderir; bu muafiyet olmadan yanlışlıkla rate limit’e takılabilirler.

bypasscaptcha, CAPTCHA doğrulamasını atlayarak partner sistemlerinin headless ortamlarda sorunsuz çalışmasını sağlar. Bu aksiyonla birlikte diğer kurallar (rate limit, bot skoru vb.) hâlâ değerlendirilir.

Gelişmiş Varyant

# API anahtarı olan istekleri JS challenge'dan muaf tut
IF   http.header contains Authorization=Bearer
AND  http.request.base_uri has_prefix /api
THEN bypassjs

# İç network'ten gelen tüm istekleri muaf tut
IF   ip.prefix == 10.0.0.0/8
THEN allow

Konsolda bu seçimlerle:

• Bearer token’a JS muafiyeti — Alan Header · Operatör içerir · Değer Authorization=Bearer VE Alan Path (sorgusuz) · Operatör ile başlar · Değer /api → Aksiyon JS Muaf
• İç network’e izin ver — Alan IP Aralığı (CIDR) · Operatör eşittir · Değer 10.0.0.0/8 → Aksiyon İzin Ver

Authorization: Bearer başlığı taşıyan API isteklerini JS challenge’dan muaf tutmak, programatik istemcilerin akışını kesmeden güvenlik katmanlarının geri kalanının çalışmasına olanak tanır. Bu kural özellikle mobil uygulama backend’leri veya microservice’ler arası iletişim için kullanışlıdır.

RFC 1918 10.0.0.0/8 bloğundan gelen istekleri allow ile muaf tutmak, iç ağ trafiğinin kural motoruna takılmadan doğrudan geçmesini sağlar. Bunu yalnızca bu CIDR bloğunun gerçekten güvenilir iç ağı temsil ettiğinden emin olduktan sonra uygulayın.

İpuçları

• IP listeleri Console → WAF → IP Listeleri bölümünden yönetilir; kuralları düzenlemeden güncellenebilir
• Ofis IP’leri değiştiğinde yalnızca listeyi güncellemek yeterlidir; kural satırına dokunmaya gerek yoktur
• İzin Ver aksiyonu kural zincirini tamamen durdurur; CAPTCHA Muaf ise yalnızca CAPTCHA’yı atlar, diğer kurallar çalışmaya devam eder