Cloudflare WAN

Sıkça sorulan sorular

Adı ne zaman değişti, eski bağlantılarım çalışıyor mu?

17 Şubat 2026'da Magic WAN → Cloudflare WAN oldu. developers.cloudflare.com/magic-wan/ bugün /cloudflare-wan/'a yönleniyor. Changelog birebir: “No action is required by you — all functionality, existing configurations, and billing will remain exactly the same.” Aynı turda yeniden adlandırılan diğer ağ ürünleri: Magic Firewall → Cloudflare Network Firewall, Magic Network Monitoring → Network Flow.

API de yeni adı kullanıyor mu?

Hayır — ve bu otomasyonu kıran bir ayrıntı. Uç noktalar hâlâ magic altında: /accounts/$ACCOUNT_ID/magic/routes, /magic/ipsec_tunnels, /magic/gre_tunnels. Token izinleri de eski adlarla: Magic WAN Write, Magic Transit Write. Panel yolları da /magic-networks/…. Terraform ve script'lerini yeniden adlandırma yüzünden değiştirmene gerek yok; değiştirirsen kırılır.

Magic Transit ile farkı tam olarak ne?

Cloudflare'in kendi cümlesi ayrımı net koyuyor: Magic Transit “external-facing services of an enterprise (i.e. north-south Internet-routable traffic)” için; Cloudflare WAN ise “east-west ‘intra-enterprise’ internal traffic (e.g. RFC 1918 private addresses), interconnecting all the sites of an enterprise” için. Yani biri dışarıdan gelen trafiği koruyor, diğeri şubelerini birbirine bağlıyor. Kurulum esnek: “Both services can either be deployed in the same service instance, or… different service instances can be deployed.”

Self-servis olarak alabilir miyim?

Hayır. Birebir: “Cloudflare WAN is an Enterprise-only product. Contact Cloudflare to acquire Cloudflare WAN.” Ürün kökü sayfasında da Enterprise-only rozeti var. Ve donanım tarafında bir sıra şartı: “If you plan on using Cloudflare One Appliance to automatically onboard your locations to Cloudflare, you will need to purchase Cloudflare WAN first.”

Nasıl faturalanıyor?

Bant genişliğinin 95. yüzdebirliği üzerinden. Birebir: “Cloudflare measures Cloudflare WAN usage based on the 95th percentile of bandwidth utilized by your configured network… By discarding the highest 5% of samples, the measurement reflects your sustained bandwidth usage rather than momentary peaks.” Yani kısa süreli tepe noktaları faturaya yansımıyor. Birim fiyat yayımlanmıyor: cloudflare.com/products/cloudflare-wan/ ve /products/magic-wan/ 404; canlı olan iki sayfa da sıfır $ içeriyor ve “Contact sales” ile bitiyor.

GRE mi IPsec mi seçmeliyim?

Cloudflare'in kendi karşılaştırma tablosu: GRE — şifreleme yok, kimlik doğrulama yok, kurulum daha basit, “Best for: Trusted networks, CNI connections”. IPsec — şifreleme var, kimlik doğrulama PSK, PSK değişimi gerektiriyor, “Best for: Internet-facing connections requiring encryption”. Cihaz uyumluluğu da seçimi daraltabiliyor: GRE ve IPsec destekleyenler Aruba EdgeConnect, Cisco IOS XE, Cisco SD-WAN, pfSense, Sophos, VyOS. Yalnızca IPsec destekleyenler arasında Fortinet, Palo Alto, Juniper SRX, SonicWall, strongSwan ve bütün bulut VPN'leri (AWS Transit Gateway, Azure VPN Gateway, GCP Cloud VPN, Oracle, Alibaba) var.

IPsec için hangi parametreler zorunlu?

Dört sert kural: (1) “The IKE version must be IKEv2.” (2) “The IKE authentication method must be Pre-Shared Key (PSK).” (3) “You must disable Extended Sequence Numbers (ESN).” (4) Firewall'da UDP 500, UDP 4500 ve IP protokol 50 (ESP) açık olmalı. Cloudflare'in önerisi tek DH grubu kullanmak — özellikle DH group 20. Child SA rekey aralığı için öneri: 30 dakika ile 8 saat arası. Ve en önemli davranış farkı: “Cloudflare only operates as an IKE responder.” — rekey'i her zaman senin cihazın başlatmalı.

Tünel kuruldu ama panel “Down” diyor. Neden?

Doküman en yaygın üç sebebi sıralıyor. Bir — anti-replay: birebir “This is the most common IPsec issue. Anti-replay protection expects packets to arrive in sequence from a single sender. Cloudflare's anycast architecture means tunnel traffic originates from thousands of servers, each with its own sequence counter.” Çözüm: korumayı kapat ya da replay window'u 0 yap. İki — stateful firewall: “Stateful firewalls (such as Palo Alto Networks, Check Point, Cisco, and Fortinet) drop the default Reply health check packets because no matching ICMP request exists in their session table.” Çözüm: tipi Request yap. Üç — dönüş yolu: bidirectional health check'te ICMP yanıtı tünelin içinden dönmeli; VTI ve policy-based routing eksikse internet üzerinden dönüyor ve sayılmıyor.

Health check'ler neden Magic Transit'tekinden farklı davranıyor?

Varsayılan yön farklı. Birebir: “Cloudflare defaults to bidirectional health checks for Cloudflare WAN, and unidirectional health checks for Magic Transit (direct server return).” Bidirectional'da ICMP yanıtı tünelin içinden dönmek zorunda — IPsec'te traffic selector'ların bu paketleri kabul edecek şekilde ayarlanması gerekiyor. Adresleme kuralı da belgeli: interface address 10.100.0.8/31 ise Cloudflare paketi 10.100.0.9'a gönderip 10.100.0.8'den kaynaklıyor. Bir tuzak: aynı doküman sayfasındaki GRE API örnek yanıtı "direction": "unidirectional" gösteriyor — bu bir varsayılan beyanı değil, yalnızca bir örnek.

İki tür health check var; farkları ne?

Birebir: Tunnel health checks — “monitor the status of the tunnels… Cloudflare WAN relies on these checks to steer traffic.” Endpoint health checks — “evaluate connectivity from Cloudflare distributed data centers to your origin network… They flow over available tunnels but do not inform tunnel selection or steering logic.” Yani yönlendirmeyi etkileyen yalnızca birincisi. Prob sıklığı için sayısal aralık bilerek yayımlanmıyor: “The rate is dynamic and depends on the size of Cloudflare's network.” Ama ölçek belgeli: “your network will receive several hundred health check packets per second. Each Cloudflare data center sends only one health check packet as part of a probe.”

“%100 degraded” ne demek — trafiğimin tamamı mı kayıp?

Hayır. Birebir: “100% degraded is a state, not a packet loss percentage.” Her Cloudflare veri merkezi tüneli bağımsız izliyor: “Cloudflare does not synchronize health checks among global network servers. A tunnel can be healthy in one data center and degraded in another at the same time. This is normal behavior, not an outage.” Bakman gereken yer: Traffic volume (1h) sütununda gerçekten trafik gösteren veri merkezleri.

Tünelin iyileşmesi neden bu kadar uzun sürüyor?

Kasıtlı histerezis. Birebir: “Tunnels remain in a degraded or down state for at least five minutes… Recovery from degraded to healthy can take up to 30 minutes. This intentional slow recovery behavior (called hysteresis)…” Geçiş kuralları: Down → Degraded için “three consecutive successful” prob; Degraded → Healthy için “failure rate below 0.1% over 30 consecutive probes”. Ayrıca bir prob başarısız olunca “Cloudflare sends two additional probes to confirm the failure. A tunnel is only marked as unhealthy if all three probes fail.”

Sağlıksız tünel rotadan çıkarılıyor mu?

Hayır, cezalandırılıyor. Birebir: “Degraded: Adds 500,000 to route priority. Down: Adds 1,000,000 to route priority.” Düşük değer daha yüksek öncelik demek olduğu için bu ceza tüneli listenin dibine itiyor. Ama tamamen silmiyor: “Cloudflare never completely removes routes, preserving failover options even when all tunnels are unhealthy.”

Health check'leri kapatabilir miyim?

Kapatabilirsin ama bedeli belgeli, birebir: “If you disable tunnel health checks, your tunnels appear 100% down in your tunnel health dashboard even when working. Cloudflare keeps sending traffic through the tunnel without the means to detect if the tunnel goes down.” Yani failover'ı kaybediyorsun. Bir uyarı daha: Network Firewall açıksa “ensure your rules allow ICMP traffic sourced from Cloudflare public IPs. Otherwise, health checks will fail.”

MTU ve MSS değerleri kaç olmalı?

İkisini karıştırma. MSS clamp — GRE için 1.436 bayt, IPsec için en fazla 1.360 bayt, ve her ikisi de tünelin iç arayüzünde. MTU — sorun giderme sayfası ayrı bir aralık veriyor: “typically 1476 for GRE, 1400-1450 for IPsec” (GRE IPv4 kapsüllemesi 24 bayt ekliyor: 20 IP + 4 GRE). Cloudflare'in tavsiyesi net: “Cloudflare only recommends applying a MSS clamp… Changing the MTU of a network interface is not recommended as this might have unforeseen impacts on traffic.”

Hangi IP aralıklarını yönlendirebiliyorum?

Birebir: “RFC 1918 address space, specifically 10.0.0.0/8, 172.16.0.0/12, and 192.168.0.0/16.” Dışına çıkmak için: “For prefixes outside RFC 1918, contact your Cloudflare customer service manager.” Eşleşme bulunamazsa davranış adres tipine göre değişiyor: “Public (Internet-routable) addresses: Traffic exits to the Internet. Private addresses (RFC 1918 or CGNAT/RFC 6598): Traffic is dropped (null routed).” Ayrıca interface address'ler RFC 1918 ya da 169.254.240.0/20 içinde olmalı — bulut sağlayıcıları bunu otomatik üretirken dışına çıkabiliyor ve tünel hiç çalışmıyor.

Rota önceliği nasıl belirleniyor?

Dört kural, birebir: (1) “Lower values have greater priority.” (2) Eşitlikte “Cloudflare uses equal-cost multi-path (ECMP) packet forwarding” — hash her zaman kaynak/hedef IP, TCP ve UDP'de portlar da dahil. (3) “Cloudflare routing applies longest-prefix match. A more specific static route (like /30) always takes precedence over a less specific one (like /29), regardless of tunnel priority.” (4) “When BGP and static routes have the same prefix and priority, Cloudflare enforces priority by preferring static routes over BGP routes.” Weight için tavan: “The maximum weight value is 256” ve “the use of weights is only approximate.”

BGP kullanabilir miyim?

Beta olarak, ve iki farklı olgunlukta. BGP over CNI — Closed Beta, “Not available to new customers — contact your account team”, ön koşul CNI v2. BGP over Anycast IPsec/GRE — Open Beta, önerilen kullanım “Non-production workloads”, ön koşul Unified Routing (beta). Ayrıntılar: varsayılan BGP rota önceliği 100; “Your CPE must initiate the BGP peering session. Cloudflare will not initiate.”; TCP 179 çift yönlü açık olmalı; hold time için öneri en az 45 saniye, Cloudflare kendisi 90 saniye duyuruyor; “up to 5,000 prefixes on one BGP session”; yalnızca eBGP; MD5 en fazla 80 karakter ve doküman ekliyor: “MD5 authentication is not a valid security mechanism.”

AS path prepend ve BGP community ile öncelik ayarlayabilir miyim?

Evet, ikisi de belgeli. Community eşlemesi: 13335:60010 → 10, 13335:60050 → 50, UNSET → 100, 13335:60150 → 150, 13335:60200 → 200, 13335:60901 → 501000, 13335:60902 → 1001000. Son ikisi dikkat çekici: degraded (+500.000) ve down (+1.000.000) cezalarının hemen üstünde duruyorlar. AS path prepending: “For each additional mention of your ASN in the received AS path, Cloudflare adds 10 to the route's base priority.”

Rotalarımı Türkiye'ye kısıtlayabilir miyim?

Hayır. Region scoping ülke bazlı değil; dokuz Cloudflare bölgesiyle yapılıyor: AFR, APAC, EEUR, ENAM, ME, OC, SAM, WEUR, WNAM. Cloudflare WAN dokümanlarında turkey ve türkiye aramaları sıfır sonuç veriyor (pozitif kontrol: aynı gövdede EEUR ve Middle East bulunuyor), dolayısıyla İstanbul'un hangi bölge koduna düştüğü UNVERIFIED. Daha temel engel: uyumluluk matrisinde Cloudflare WAN'ın Regional Services satırı ⚫️ “not applicable” — yani ürün bu özellikle hiç etkileşmiyor. Türkiye Regional Services bölgesi var ama WAN'ı kapsamıyor.

Bölgeye kısıtlı rota kullanırsam neye dikkat etmeliyim?

Tek bir cümle, ve pahalı: “When using region-scoped routes, ensure that all prefixes have routes covering all regions. Otherwise, traffic may arrive at a Cloudflare region that is not covered by any route, in which case Cloudflare drops the traffic.” İkinci kısıt: “Scoping routes to specific regions is not supported with BGP peering, and is only available to statically configured routes at this time.”

Gateway kuralları WAN trafiğime uygulanıyor mu?

Kısmen, ve bir de eşleştirme sorunu var. Varsayılan olarak proxy'lenen trafik birebir: RFC 1918 IP'lerinden kaynaklanan TCP, UDP ve ICMP; ve BYOIP/Leased IP kaynaklı olup “destined to a well-known port (0-1023)” olan TCP/UDP. Cloudflare Tunnel arkasındaki rotalara giden trafik de varsayılan olarak proxy'leniyor. Ama: “Contact your account team to enable Gateway filtering for traffic destined to routes behind IPsec/GRE tunnels.” Ve asıl pratik uyarı: “Because Gateway cannot discern Cloudflare WAN traffic, you must use Cloudflare One Client checks or the IP addresses associated with Cloudflare WAN to match traffic with Gateway policies.” Gateway DNS resolver IP'leri 172.64.36.1 ve 172.64.36.2.

Network Firewall otomatik geliyor mu?

Evet, standart sürümü. Birebir: “If you are a Magic Transit or Cloudflare WAN user, you are automatically provided with a standard list of Cloudflare Network Firewall (formerly Magic Firewall) features.” Standard'da olanlar: protokol/port/IP/paket uzunluğu eşleşmesi, “fast propagation of rule changes in less than a minute”, Terraform uyumlu API, kural bazında GraphQL analitiği. Advanced (ücretli): özel IP listeleri, yönetilen threat-intel listeleri (Anonymizer, Botnet, Malware, Open Proxies, VPNs), ülke bazlı geoblocking, ASN bazlı kural, on-demand packet capture, protocol validation, IDS. Kural dili “inspired by Wireshark syntax”. Limitler: 200 politika, tüm listeler toplamı 10.000 IP.

Cloudflare One Appliance zorunlu mu?

Hayır ama tercih edilen yol: “Setting up Cloudflare WAN automatically is done through Cloudflare One Appliance, and is the preferred method.” IPsec ya da GRE destekleyen herhangi bir cihazla elle de kurabilirsin — strongSwan dahil. Appliance'ın sattığı şey otomasyon: “It is managed remotely through the Cloudflare dashboard, so you do not require an onsite IT team.” Donanım Dell VEP üzerinde sertifikalı: iki SFP+ 10G portu ve altı RJ45 1G portu; “only supports 10Gbps SFP+ modules”. Sanal sürümü de indirebiliyorsun.

Bir sitede kaç Appliance olabilir, failover ne kadar sürüyor?

Birebir: “You can install up to two instances of Cloudflare One Appliance for redundancy at each of your sites.” Sağlık durumları Good / Degraded / Down; failover süresi “It could take up to 30 seconds for traffic to be fully restored over the new active node.” İki tasarım kısıtı var ve ikisi de sahada unutuluyor: “The HA pair is configured in non-preemptive mode” ve “The HA link cannot be connected back-to-back. It has to be connected over a switch.” Ayrıca: “The Cloudflare One Appliance does not support fail open.”

Appliance ne kadar şifreleme kullanıyor?

IKE değil, kendi kontrol düzlemi. Birebir: “The Cloudflare One Appliance uses ESP-in-UDP with GCM-AES-256 encryption. Cloudflare uses a non-IKE keying protocol built into our control plane, secured with TLS.” Ve post-quantum: “From Appliance version 2026.2.0, the control plane provides post-quantum protection with hybrid ML-KEM (X25519MLKEM768) over TLS 1.3.” Cihaz bütünlüğü TPM/Secure boot ile doğrulanıyor (sanal sürümde geçerli değil). Heartbeat api.cloudflare.com'a 10 saniyede bir.

IPsec tünelinde post-quantum kullanabilir miyim?

Evet, ve Cloudflare bunu öneriyor. Key exchange seçenekleri birebir: “Post-quantum hybrid (recommended): ML-KEM-768 as an additional Key Exchange to DH Group 20”, alternatif ML-KEM-1024 + Group 20, ve klasik DH group 20 / 14 / 5. İki teknik şart: “you must enable IKEv2 fragmentation on your router to prevent packets from exceeding the 1,500-byte MTU” ve Transform ID olarak 36 (ML-KEM-768) ya da 37 (ML-KEM-1024). Doğrulanmış üçüncü taraflar: Cisco 8000 Series (IOS XR 26.1.1, ML-KEM-1024), Fortinet FortiOS 7.6.6+ (hem 768 hem 1024).

Unified Routing modu ne, hangisindeyim?

Zero Trust rotaları ile WAN rotalarının nasıl yarıştığını belirliyor. Terminoloji birebir: “Zero Trust routes = Cloudflare Tunnel, Cloudflare Mesh. WAN routes = IPsec, GRE, and CNI.” Unified modda: “When routes have the same prefix length, Zero Trust routes take precedence over WAN routes.” Legacy modda davranış daha karışık: WAN rotası daha spesifik olsa bile “Not guaranteed — Zero Trust route can take precedence regardless of prefix length”. Hangi moddasın: Routes sayfasındaki banner “Your account is using Unified Routing mode.” ya da “Unified routing is available.” diyor. Unified Routing şu an closed beta ve ciddi kısıtları var — throughput “typically around 150 Mbps for each onramp”.

Virtual network kullanabiliyor muyum?

WAN bağlantılarında hayır. Birebir: “Cloudflare WAN connections (IPsec, GRE, CNI) currently use only the default virtual network.” Çoklu virtual network yalnızca Cloudflare Tunnel ve Cloudflare One Client için var. Örtüşen RFC 1918 aralıklarını farklı vnet'lere ayırma stratejisi kuruyorsan bu sınırı baştan hesaba kat.

Kaç tünel ve kaç statik rota tanımlayabilirim?

UNVERIFIED — ikisi de yayımlanmıyor. 1,1 MB'lık Cloudflare WAN doküman gövdesinde maximum number of tunnels araması sıfır sonuç veriyor; quota da sıfır. static route ifadesi 123 kez geçiyor ama hiçbirinin yanında sayısal bir tavan yok. Pozitif kontrol: aynı gövdede Cloudflare WAN 609 kez bulunuyor, yani arama çalışıyor. Yayımlanan sayısal limitler yalnızca şunlar: tünel başına ~100 Child SA, BGP oturumu başına 5.000 prefix, weight tavanı 256, site başına 2 Appliance, WAN portu başına en fazla 2 tünel.