Sophos Firewall’da traffic shaping (QoS), internet hattı dolduğunda hangi trafiğin öne geçeceğini belirler. Bir uygulama, kullanıcı, web kategorisi ya da firewall kuralı için bant genişliği garanti edebilir veya üst sınır koyabilirsiniz. Toplantı sırasında ses kalitesi bozuluyor, yedekleme işi gün içinde hattı dolduruyorsa ilk bakılacak yer burası. Bu yazı politika türlerini, uygulanma sırasını ve sık yapılan hataları anlatıyor.
Traffic shaping neyi yapar, neyi yapmaz?
Sophos’un yardım sayfasına göre politikalar bant genişliğini garanti etmek veya sınırlamak için kullanılır. Bir politika tek bir nesneye ayrılabilir ya da bağlandığı tüm nesneler arasında paylaştırılabilir. İsterseniz belirli bir zaman aralığıyla sınırlayabilirsiniz.
Yapamadığı şeyler de var. Sistemin kendi ürettiği trafik, örneğin imza güncellemeleri, QoS kapsamı dışında kalıyor. Ayrıca traffic shaping veri hacmini ya da süreyi sınırlamaz, yalnızca anlık hızı yönetir. “Aylık 50 GB” gibi bir kota istiyorsanız başka bir mekanizma gerekir.
Hangi politika türünü seçmeli?
Politikayı oluştururken önce neye bağlanacağını (policy association) seçersiniz. Dört seçenek var.
| Bağlanacağı nesne | Tipik kullanım |
|---|---|
| Uygulama veya uygulama kategorisi | Video konferans için garanti, torrent ve akış servisleri için limit |
| Web kategorisi | Sosyal medya veya video sitelerini kısmak |
| Kullanıcı veya grup | Misafir ağındaki kullanıcıya üst sınır |
| Firewall kuralı | Bir VPN bağlantısına, servise veya sunucuya göre hız ayırmak |
Uygulama bazlı politika, bağlı olduğu kategorinin politikasından önce gelir. Uygulama tespiti için Application Control, web kategorileri için Web Control yapılandırması bu aşamada devreye girer.
Garanti mi, limit mi?
Sophos’un tanımına göre limit, trafiğin belirlenen hızı aşamayacağı anlamına gelir. Garanti ise trafiğe belirlenen bant genişliğini ayırır. Hat boşsa trafik, tanımlı limite kadar daha fazlasını kullanabilir.
Politikada birkaç seçenek daha var.
- Yükleme ve indirmeyi ayrı sınırlama. Yön bazında farklı değer girebilirsiniz.
- Bireysel veya paylaşımlı kullanım. Bireysel modda değer politikanın ilk atandığı nesne için geçerli. Paylaşımlı modda bağlı tüm nesneler aynı havuzdan yer alır.
- Öncelik. Varsayılan gerçek zamanlı (real-time) trafiğe öncelik vermektir. Gerçek zamanlı olmayan politikalar garantilerini kalan bant genişliğinden alır.
- Zamanlama. İsteğe bağlı. Yedekleme penceresi dışında bir uygulamayı kısmak gibi senaryolarda işe yarar.
Politika oluşturmak tek başına bir şey değiştirmez. Politikanın bir kullanıcı, firewall kuralı, web kategorisi veya uygulama kaydına eklenmesi gerekir.
Adım adım kurulum
- Toplam hattı tanımlayın. System services > Traffic shaping settings altında firewall’un tüm WAN bağlantılarının toplam bant genişliğini girin.
- Politikayı oluşturun. System services > Traffic shaping altında ad, bağlanacağı nesne türü, garanti veya limit değeri ve öncelik belirleyin.
- Politikayı nesneye bağlayın. Uygulama için application filter veya kuralın application control bölümünden, web kategorisi için Web > Categories üzerinden, kullanıcı için Authentication altından, kural bazlı için firewall kuralındaki Shape traffic alanından seçin.
- Kuralın eşleştiğini doğrulayın. Kullanıcı ve web kategorisi politikaları ancak ilgili firewall kuralı o trafiği eşlediğinde çalışır.
- Kullanımı izleyin. Ayarlar sayfasındaki Show bandwidth usage düğmesi trafiği öncelik sırasına göre gösterir.
Kullanıcı bazlı politika kullanacaksanız kullanıcıların tanınması gerekir. STAS ile Active Directory kurulumu bunun için yaygın yol.
Birden fazla politika çakışırsa hangisi geçerli olur?
Aynı firewall kuralında birden fazla nesne varsa Sophos politikaları şu sırayla uygular: uygulama, uygulama kategorisi, web kategorisi, kullanıcı, grup, firewall kuralı. Yani aynı trafik hem kullanıcı hem uygulama politikasına denk gelirse uygulama politikası önce değerlendirilir. Beklenmedik bir kısıtlama görürseniz önce bu sıraya bakın.
KBps ve kbps farkı
Firewall değerleri KBps (saniyede kilobayt) olarak gösterir. Hız testleri ise kbps (saniyede kilobit) kullanır. Aradaki çarpan 8. Sophos’un örneğine göre 100 Mbps hat 12.500 KBps, 1 Gbps hat 125.000 KBps eder. Bu dönüşümü atlayıp 100 yazarsanız sınırı yüz katından fazla düşük koyarsınız.
Varsayılan politika ve gerçek zamanlı trafik
Enforce guaranteed bandwidth kapalıyken hiçbir politikaya uymayan trafik garanti almaz ve yalnızca artan hattı kullanır. Açarsanız varsayılan politika bu trafiğe uygulanır. Burada garanti, limit ve 1 (en yüksek) ile 7 (en düşük) arasında öncelik tanımlanır. Bu ayarlar yalnızca WAN bölgesine giden trafiği etkiler. Politikalar ise gelen ve giden trafiğin ikisine de uygulanabilir.
Optimize for real-time (VoIP) seçeneği açıkken VoIP ve akış gibi gerçek zamanlı trafik her zaman öne alınır. Kapalıyken önce garantili politikalar uygulanır, gerçek zamanlı trafik kalan bant genişliğini kullanır. Telefon sistemi buluttaysa bu ayarı bilinçli seçmek gerekir.
Lisans ve model
Traffic shaping bu yazıda kullandığımız yardım sayfalarında ayrı bir lisans kalemi olarak geçmiyor. Uygulama ve web kategorisi bazlı politikalar ise Application Control ve Web Protection katmanlarına dayanıyor. Hangi pakette neyin olduğunu lisans paketleri yazımızda bulabilirsiniz. Hat hızınıza uygun model için Sophos Firewall ürün sayfasına bakabilir, mevcut lisansınızı yeniletmek için lisans yenileme sayfasını kullanabilirsiniz. Kendi hat ve kullanıcı yapınıza göre ölçüm için teklif alın sayfasından talepte bulunun.
Sık sorulan sorular
Traffic shaping gelen trafiği de sınırlar mı? Evet. Politikalar firewall’un ilettiği gelen ve giden trafiğe uygulanabilir. Genel ayarlardaki varsayılan politika ise yalnızca WAN bölgesine giden trafiği kapsar.
İki farklı internet hattım var, toplam değeri nasıl girmeliyim? Sophos, ayarlar sayfasında tüm WAN bağlantılarının toplam bant genişliğini girmenizi söylüyor. Hat yedekleme senaryosu için SD-WAN rehberimize bakın.
Kullanıcı başına bant genişliği vermek için ne yapmalıyım? Politikayı paylaşımsız (bireysel) moda alıp kullanıcıya ya da gruba bağlayın. Kullanıcının tanınması ve ilgili firewall kuralının bu trafiği eşlemesi gerekir.
Hız testinde değer neden politikadan farklı çıkıyor? Çoğu zaman KBps ile kbps karışıklığındandır. Firewall değerini 8 ile çarparak hız testi birimine çevirin.