Yük dengeleyicide sağlık kontrolü, ücretsiz SSL, HTTPS yönlendirme ve gerçek ziyaretçi IP'si

1. Servisler ekranı

Yönetim → Servisler her servisin protokolünü, portlarını, sağlık kontrolü özetini ve seçeneklerini gösterir. Bir servisi kalem simgesiyle düzenler, çöp kutusuyla silersiniz.

2. Sağlık kontrolünü ayarlayın

Sağlık kontrolü, hangi hedefin trafik alacağına karar verir. Servisi düzenleyip Sağlık kontrolü bölümündeki alanları uygulamanıza göre ayarlayın:

1. Uygulamanızda hafif bir sağlık yolu oluşturun (ör. /saglik): veritabanına basit bir sorgu atıp 200 döndürsün.
2. Yol alanına bu yolu yazın.
3. Uygulama girişe yönlendiriyorsa (302) ve bunu arıza saymak istiyorsanız Kabul edilen kodlar'ı 2?? yapın.
4. Kaydet'e basın ve Hedef Sunucular'da durumların sağlıklı olduğunu kontrol edin.

3. Ücretsiz Let's Encrypt sertifikası alın

Sertifikayı yük dengeleyici adına biz alırız ve bitişine 30 gün kala kendiliğinden yenileriz. Doğrulama HTTP üzerinden yapılır, bu yüzden hedef sunucularınızda tek seferlik bir yönlendirme gerekir.

Ön koşullar:

• Sertifika alacağınız her alan adının A kaydı yük dengeleyicinin IPv4 adresini göstermelidir.
• Yük dengeleyicide 80 portunda bir HTTP servisi olmalıdır (doğrulama isteği bu porttan hedeflere ulaşır).
• Joker (*.ornekfirma.com) sertifika desteklenmez; bir sertifikada en çok 10 alan adı olur.

Adımlar:

1. Yönetim → SSL Sertifikaları'nı açın ve Ücretsiz sertifika al (Let's Encrypt)'e basın.
2. Alan adları (virgülle, en çok 10) alanına alan adlarını yazın: ornekfirma.com, www.ornekfirma.com.
3. Penceredeki Ücretsiz sertifika al (Let's Encrypt) düğmesine basın.

4. İlk seferde ekranda Sertifika doğrulaması bekliyor paneli çıkar. Paneldeki yönlendirme satırını her hedef sunucunun web sunucusu yapılandırmasına ekleyin (aşağıdaki örnekler; paneldeki adresi kopyalayın).
5. Web sunucusunu yeniden yükleyin ve panelde Doğrula'ya basın. Sertifika birkaç saniyede alınır ve listede Let's Encrypt · otomatik yenilenir olarak görünür.

Nginx (sunucu bloğunun içine):

location ~ ^/\.well-known/acme-challenge/([A-Za-z0-9_-]+)$ {
    return 301 https://www.gyrohosting.com/.well-known/gyro-lb-acme/$1;
}

Apache (.htaccess ya da sanal sunucu yapılandırması):

RewriteEngine On
RewriteRule ^\.well-known/acme-challenge/([A-Za-z0-9_-]+)$ https://www.gyrohosting.com/.well-known/gyro-lb-acme/$1 [R=301,L]

Caddy:

redir /.well-known/acme-challenge/* https://www.gyrohosting.com/.well-known/gyro-lb-acme/{path.2} 301

Let's Encrypt isteği hizmet başına günde 8 kez yapılabilir. Bekleyen bir isteği Vazgeç ile iptal edebilirsiniz; uzun süre beklenen istek kendiliğinden düşer ve yeniden başlatmanız gerekir.

4. Kendi sertifikanızı yükleyin

Ticari ya da kurum sertifikanız varsa Sertifika yükle'ye basın:

• Sertifika + zincir (PEM): önce sunucu sertifikası, ardından ara sertifikalar, aynı kutuda.
• Özel anahtar (PEM, şifresiz): parola korumalı anahtar kabul edilmez; gerekirse openssl pkey -in sifreli.key -out sifresiz.key ile parolasını kaldırın.

Süresi dolmuş sertifika ya da sertifikayla eşleşmeyen anahtar reddedilir. Özel anahtar yalnız yük dengeleyiciye iletilir, bizde saklanmaz. Yüklediğiniz sertifikaların yenilenmesi sizdedir: süre dolmadan yenisini yükleyip HTTPS servisinde seçin, eskisini silin.

5. HTTPS servisi ve HTTP'den HTTPS'e yönlendirme

1. Servis ekle'ye basın: Protokol HTTPS, Gelen port 443, Hedef port 80 (hedefler düz HTTP konuşur).
2. Sertifikalar (HTTPS) listesinden sertifikanızı seçin ve Kaydet'e basın.
3. Tarayıcıdan https://ornekfirma.com adresini açıp deneyin.
4. Tüm ziyaretçileri HTTPS'e almak için önce 80 portundaki HTTP servisini silin, sonra HTTPS servisini düzenleyip HTTP isteklerini HTTPS'e yönlendir'i açın ve kaydedin. Yük dengeleyici 80 portuna gelen her isteği 301 ile HTTPS'e yönlendirir.

Uygulamanız isteğin HTTPS olduğunu bilmek için X-Forwarded-Proto: https başlığına bakmalıdır (Bölüm 7). Aksi halde bazı uygulamalar (ör. WordPress) sonsuz yönlendirme döngüsüne girer.

6. Oturum yapışkanlığı

Uygulamanız oturumu sunucunun diskinde ya da belleğinde tutuyorsa (paylaşılan oturum deposu yoksa) ziyaretçi her istekte farklı sunucuya düşüp oturumu kaybedebilir. HTTP ve HTTPS servislerinde Oturum yapışkanlığı'nı açın:

Kalıcı çözüm, oturumları ortak bir depoda (Redis, veritabanı) tutmaktır; böylece hangi sunucu yanıt verirse versin oturum korunur.

7. Gerçek ziyaretçi IP'si

Yük dengeleyici arkasında sunucunuz bağlantıyı yük dengeleyicinin IP'sinden gelmiş gibi görür. Ziyaretçinin gerçek IP'sini almanın yolu protokole göre değişir.

HTTP ve HTTPS servisleri: yük dengeleyici her isteğe şu başlıkları ekler:

Web sunucunuza bu başlığa yalnız yük dengeleyiciden geldiğinde güvenmesini söyleyin (203.0.113.30 yerine yük dengeleyicinizin IPv4 adresini, özel ağ kullanıyorsanız özel IP'sini yazın):

# Nginx (http bloğu)
set_real_ip_from 203.0.113.30;
real_ip_header X-Forwarded-For;

# Apache (mod_remoteip)
RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 203.0.113.30

TCP servisleri: başlık eklenemez. Servisi düzenleyip Proxy protocol'ü açın; yük dengeleyici her bağlantının başına ziyaretçi IP'sini içeren PROXY protocol satırı ekler. Hedefteki yazılım bunu desteklemeli ve açıkça etkinleştirilmelidir:

# Nginx (stream ya da http bloğunda dinleme)
listen 443 ssl proxy_protocol;
set_real_ip_from 203.0.113.30;
real_ip_header proxy_protocol;

8. Sık sorulan sorular