hub do fabricante
F5
Tudo o que o ronutz.com tem sobre F5, num só lugar: as ferramentas, agrupadas por família, os artigos e, quando existem, os guias de certificação, uma trilha de leitura, o capítulo de carreira, o registro da indústria e a linhagem. As ferramentas calculam localmente, no seu navegador; os artigos se baseiam na documentação do fabricante.
O trabalho com a F5 →
O capítulo de carreira: como foi de fato o trabalho com a F5, quais contas, quais escalonamentos e que certificações ele rendeu.
A história da F5 na seção Indústria →
Como a F5 chegou até aqui: as aquisições, as viradas e as pessoas cujo trabalho foi parar dentro da plataforma.
Linhagem da F5 →
Do que a F5 é feita, e quem a fez. Cada aquisição abaixo é conferida em fontes primárias e traz a linha de produto em que se transformou, quando essa ligação está documentada, e não apenas deduzida.
Preparação para certificação
Ferramentas (64)
BIG-IP LTM - Local Traffic Manager
Decodificador de cookie de persistência BIG-IP
Decodifique um cookie de persistência BIGipServer da F5 no IP e porta do membro do pool, ou gere um cookie a partir de um endereço e porta. Roda inteiramente no seu navegador.
RedesExplicador de cipher string do F5
Cole uma cipher string do F5 BIG-IP e veja cada palavra-chave e operador explicado, além de uma análise de segurança, tudo no seu navegador.
TLS e transporteExplicador de métodos de persistência
Cole perfis de persistência e virtual servers do BIG-IP e veja o método por trás de cada um, seus modos de falha e a cadeia de primário para fallback, tudo no seu navegador.
RedesExplicador de perfil SSL do F5
Cole um perfil client-ssl ou server-ssl do tmsh e veja o papel dele, a matriz de protocolos TLS e uma análise de segurança cobrindo cadeia, renegociação, SNI, OCSP e TLS mútuo — tudo no seu navegador.
TLS e transporteExplicador de perfis de protocolo L4 do LTM
A decisão de perfis de protocolo em cartões: o tcp full-proxy com todos os recursos, os quatro f5-tcp-* vivos que a F5 atualiza continuamente (somente leitura, ajustados via perfis filhos) versus o trio legado -optimized congelado, o caminho de pacotes PVA do FastL4 com o par loose para roteamento assimétrico, e o caso HTTP estreito-mas-rápido do FastHTTP com sua lista completa de critérios de uso e o K8024 como leitura obrigatória.
RedesExplicador de source-mask do OneConnect
Cole um profile one-connect para a auditoria completa das opções com a semântica e os padrões da própria man page, ou simule uma máscara contra IPs reais de clientes e veja os grupos de reuso se formarem. A demonstração principal: o SNAT traduz primeiro, então um único endereço SNAT colapsa todos os clientes em um só grupo de reuso, não importa quão estreita seja a máscara.
RedesSeletor de métodos de balanceamento
Cole um ltm pool e veja o método de balanceamento explicado nos termos da própria F5, com verificações cruzadas contra o resto do pool, ou responda duas perguntas e receba uma recomendação com fontes. Tudo no seu navegador.
RedesSimulador de balanceamento de carga do BIG-IP LTM
Configure os membros do pool, escolha um método de balanceamento de carga e uma quantidade de requisições, e veja para onde as próximas N conexões vão.
Redes
iRules
Bancada de strings de iRules
Rode um comando string do Tcl 8.4 (range, first, map, match, compare, trim e outros) e veja o resultado numa régua de caracteres: o que foi buscado, casado, devolvido ou trocado, e como índices como end-1 ou 010 foram lidos. Local, sem rede.
RedesCalculadora de runtime de iRules
Transforme estatísticas de timing de iRules em tempo real de execução, custo de CPU por requisição e máximo de requisições por segundo.
RedesClassificador iRules vs LTM policy
Por bloco when, um veredito honesto: exprimível em uma LTM policy (com um esboço de migração na gramática dos próprios exemplos do fabricante), verifique na sua versão, ou iRule obrigatória com os bloqueadores nomeados. Policies são a camada sem programação; esta ferramenta diz quais blocos pertencem a ela.
RedesConstrutor de if / switch / class para iRules
Descreva uma decisão como regras e receba-a escrita como uma cadeia if / elseif, um switch e um class match com seus data groups em tmsh, e veja qual pool cada forma escolhe para um valor de teste. Mostra onde o primeiro casamento e o casamento mais longo divergem. Local, sem rede.
RedesConversor de notação numérica de iRules
Digite um valor como ele aparece num iRule (010, 0x1F, 08, 1e3) e veja como o Tcl 8.4 o lê: inteiro ou double, a base, o mesmo valor em outras notações, e por que 010 == 8 é verdadeiro enquanto 010 eq 8 é falso. Local, sem rede.
RedesExecutor passo a passo de iRules
Rode um trecho curto de iRule um comando por vez e veja o que cada comando recebeu depois da substituição, o que devolveu e quais variáveis mudaram. O caminho mais rápido para entender aspas, chaves, append, concat, incr e o ramo que if ou switch tomou. Local, sem rede.
RedesExplicador da ordem de eventos de iRules
Escolha o conjunto de perfis de um virtual server do BIG-IP — Client-SSL, HTTP, Server-SSL, pool — e veja a ordem em que os eventos de iRule comuns disparam, de CLIENT_ACCEPTED a CLIENT_CLOSED, como linha do tempo e lista. Tudo no seu navegador.
RedesExplicador de comando-contexto de iRules
Cole uma iRule: cada bloco when explicado com a descrição oficial do evento, seus comandos inventariados e vinculados, a ordem de avaliação por priority documentada, e uma auditoria de CMP que captura as construções que rebaixam seu virtual server para um único TMM.
RedesExplicador de findstr, substr e getfield
Rode findstr, substr ou getfield da F5 na sua string e veja o casamento, o salto, o terminador e o resultado marcados numa régua, ao lado do Tcl puro que faz o mesmo trabalho. Casos que a F5 não documenta são sinalizados. Local, sem rede.
RedesExplicador de scan para iRules
Informe um valor e um formato de scan e veja cada %d, %s ou %[^&] alinhado com os caracteres que consumiu, a variável que preencheu e exatamente por que a leitura parou. Explica o resultado -1 e as peculiaridades do Tcl 8.4. Local, sem rede.
RedesLaboratório de expressões de iRules
Avalie uma expressão do jeito que expr e if fazem num iRule e veja cada passo: como cada operando foi lido, comparação numérica ou de texto, precedência, onde o && parou, e == ao lado de eq. Modo Tcl 8.4 ou iRules. Local, sem rede.
RedesLinter de desempenho de iRules
Cole um iRule; ele sinaliza anti-padrões de desempenho documentados pela F5 linha por linha, com severidade, causa e correção. O principal: variáveis globais demovem o CMP. Local, sem rede.
RedesLocalizador zero-ou-um do BIG-IP
Zero ou um? Veja onde cada comando Tcl, comando de iRules, objeto de configuração, API e ferramenta do BIG-IP começa a contar, com as palavras da própria F5 e a data em que cada fonte foi lida, e traduza uma posição para o número de cada comando, executando-o. Local, sem rede.
RedesVerificador de estilo de iRules
Cole um iRule e leia-o segundo o iRules Style Guide do DevCentral: indentação, chaves, comentários, expressões entre chaves, switch --, prioridade de eventos, nomes static:: e mais, além de uma verificação de sintaxe Tcl 8.4 real. Analisado, nunca executado. Local, sem rede.
Redes
TMOS - Traffic Management Operating System · F5OS · Plataformas
Calculadora de cadência de lançamentos da F5
A F5 passou para uma cadência de segurança mensal em julho de 2026. Isto calcula as próximas datas de lançamento endurecido e de notificação de segurança para você planejar janelas de patch. Local, sem rede.
RedesCalculadora de threads do BigD
Informe a contagem de vCPUs (e se o sistema é hyperthreaded) para obter a quantidade de threads do BigD que o BIG-IP 21.1 deriva automaticamente, pelas fórmulas documentadas da F5, além do teto do bigd.numprocs e do limite de 15.000 monitores.
RedesConstrutor de tcpdump para BIG-IP
Monta um comando tcpdump correto para o BIG-IP a partir de opções estruturadas: a sintaxe de interface da TMM, o nível de detalhe de fluxo, o snaplen, a gravação em arquivo e um filtro BPF. Ele formata o comando para você executar; não captura nada.
RedesExplicador de configuração tmsh
Cole um trecho de bigip.conf do BIG-IP e receba uma explicação em português de cada objeto, além da estrutura, totalmente no seu navegador.
RedesExplicador de licença F5 BIG-IP
Cole o seu /config/bigip.license, arquivo completo ou um trecho, e receba uma leitura em linguagem clara: tipo de gerenciamento, datas de licenciamento com o veredito de upgrade da K7727, Registration Key e plataforma, módulos ativos e opcionais, restrições e tokens de recursos. Roda inteiramente no seu navegador.
RedesExplicador de packet filters do BIG-IP
Cole regras net packet-filter para a caminhada de primeira correspondência ordenada com a semântica do próprio man page, detecção de sombreamento, e o contexto de plataforma dentro do qual cada decisão de filtro vive. Adicione uma linha sim: e um simulador honesto de três estados responde qual regra casa com seu pacote.
RedesService check date do F5
Informe uma versão do BIG-IP para obter a service check date mínima que a licença precisa ter, ou informe uma service check date para ver a versão mais recente para a qual você pode atualizar. Baseado na tabela pública de License Check Date da F5 (K7727); roda inteiramente no seu navegador.
Redes
BIG-IP DNS (antigo GTM - Global Traffic Manager)
Explicador do fluxo de decisão GSLB
A decisão em duas camadas do BIG-IP DNS, explicada: seleção de pool no wide IP, depois a cadeia preferred, alternate e fallback dentro do pool, com a gramática validada e as regras do manual verificadas.
RedesExplicador do protocolo iQuery
Decodifique a saída do iqdump do F5 BIG-IP DNS e as mensagens iQuery do /var/log/gtm, ou explique a arquitetura do iQuery (malha, porta 4353, confiança SSL, iqdump, gtmd, big3d). Roda localmente.
RedesPontuador longest-match de topologia GTM
Decisões de topologia computadas como o BIG-IP DNS computa: a ordenação Longest Match com justificativa por registro, a caminhada de pontuação com sombreamento exibido, maior pontuação vence, empates em round robin.
RedesSimulador GSLB do BIG-IP DNS (GTM)
Modele o balanceamento global de carga em dois níveis: um wide IP escolhe um pool e o pool escolhe um servidor virtual. Veja como N requisições DNS são resolvidas entre pools e membros.
Redes
F5 AWAF - Advanced WAF (antigo BIG-IP ASM - Application Security Manager)
Estimador de envenenamento do aprendizado automático do AWAF
Quantas requisições um atacante precisa para abrir um buraco na sua política do BIG-IP Advanced WAF quando o Policy Builder fica em aprendizado automático sobre tráfego não confiável? Informe seus limites de Loosen e os recursos do atacante; a ferramenta calcula o mínimo de fontes, requisições e tempo para forçar um afrouxamento automático, e barra os casos que o tornam impossível. Roda inteiramente no seu navegador.
Segurança e WAFExplicador de política declarativa do AWAF
Cole uma política de segurança declarativa do BIG-IP Advanced WAF (JSON) e receba uma leitura seção por seção, em linguagem clara e fundamentada no schema publicado pela F5, com alertas de segurança que interpretam os valores: enforcement transparent significa somente monitoramento, além de staging de assinaturas, Data Guard desligado e cookies sem Secure ou HttpOnly. Roda inteiramente no seu navegador.
Segurança e WAFExplicador de técnicas de evasão do AWAF
Digite o nome de uma subviolação ou "evasions" para as oito subviolações de evasão do F5 explicadas, cada uma com seu padrão e o truque de codificação que ela detecta, ou cole o bloco evasions de uma política declarativa de WAF para ler cada uma como habilitada ou desabilitada, com a contagem de passes do Multiple decoding. Baseado no F5 K7929; roda inteiramente no seu navegador.
Segurança e WAFInterpretador de accuracy/risk de signature do AWAF
Leia a Accuracy e o Risk publicados de uma attack signature e ela diz o quão propensa a falso positivo é, o quão danoso um match real seria, e a jogada de ajuste. O F5 define accuracy como suscetibilidade a falso positivo, então accuracy baixa significa muitos falsos positivos. Roda inteiramente no seu navegador.
Segurança e WAFInterpretador de sugestão de aprendizado do AWAF
Conecta o estimador de envenenamento e a triagem de falso-positivo. Caracterize uma sugestão do Traffic Learning e ela diz se aceitá-la afrouxa ou aperta a política, se um afrouxamento é uma correção de falso positivo ou uma relaxação de segurança, e se o aprendizado Automático está prestes a fazer enforcement por você. Roda inteiramente no seu navegador.
Segurança e WAFTriagem de falso-positivo do AWAF
O outro lado do estimador de envenenamento: relaxe um falso positivo genuíno do Advanced WAF corretamente, com escopo, e pare antes de relaxar um ataque real. Escolha uma categoria de violação, seu violation rating médio, e se está enforced, staged ou transparent, e obtenha o veredito baseado em rating do F5 e a correção com escopo. Roda inteiramente no seu navegador.
Segurança e WAFTriagem de request-log do AWAF
Cole uma entrada de request-log do ASM (syslog key-value ou CEF) e ela extrai a política, o support ID para correlação de log, o status da requisição, o violation rating, o IP do cliente, método e URI, classifica cada violação, e dá o veredito baseado em rating do F5, depois faz a ponte para a ferramenta de triagem de falso-positivo. Roda inteiramente no seu navegador.
Segurança e WAFVerificador de brecha por diff de política do AWAF
Cole uma política declarativa de WAF antes e depois e ela classifica cada mudança relevante para segurança como afrouxamento ou aperto, e responde a pergunta que importa depois do ajuste: isto abriu uma brecha? Sinaliza afrouxamentos que ampliam a proteção além de uma única entidade em contraste com um allow de entidade única devidamente delimitado. Roda inteiramente no seu navegador.
Segurança e WAF
BIG-IP AFM - Advanced Firewall Manager
Explicador de contexto e regras do AFM
Caminhe um pacote pela ordem de contextos documentada do AFM e veja a semântica que decide resultados reais: accept passa um contexto e o tráfego é processado de novo no próximo, só accept-decisively encerra a caminhada, regras de ICMP em um virtual server ou self IP são ignoradas, e policies em staging registram sem aplicar. Uma policy sozinha recebe a auditoria de regras redundantes e conflitantes que o próprio sistema define.
RedesExplicador de vetores DoS e perfis AFM
Cada vetor DoS do AFM explicado nas palavras da própria F5, com a mecânica de limiares detalhada e a configuração verificada: a inversão silenciosa de mitigação abaixo da detecção, a semântica do modo automático, policiamento sem detecção e a interação com SYN cookies. Somente configuração defensiva.
Redes
BIG-IP Zero Trust Access (antigo BIG-IP APM - Access Policy Manager)
Explicador de métodos SSO do APM
Os oito métodos de SSO que o próprio capítulo do APM define, cada cartão carregando o veredito que decide indisponibilidades: um objeto SSO mal configurado de qualquer método não-formulário pode desabilitar o SSO de todos os métodos naquela sessão do usuário; Form Based e Forms - Client Initiated são os únicos isentos. O Kerberos entrega sua lista completa de pré-requisitos, incluindo a linha que vale emoldurar: o Kerberos SSO do APM não precisa nem usa um arquivo keytab.
Identidade e tokensReferência de variáveis de sessão do APM
O capítulo de Session Variables como uma consulta ciente de padrões: cole session.ad.last.attr.memberOf e ele resolve contra os próprios templates do capítulo, cole uma expressão mcget e cada referência dentro dela é explicada com a auditoria de variáveis seguras junto, a clássica armadilha do valor vazio nomeada com exatidão: um mcget puro em session.logon.last.password volta vazio, porque variáveis seguras exigem -secure.
Identidade e tokens
Automação e Integração
Explicador de declaração AS3
Cole o JSON que você faz POST em /mgmt/shared/appsvcs/declare e ele o lê de volta: se é uma requisição AS3 completa ou uma declaração apenas ADC, o schemaVersion e os metadados, e a árvore Tenant para Application para recurso com cada classe explicada, verificando as regras estruturais que o F5 documenta. Roda inteiramente no seu navegador.
RedesExplicador de Telemetry Streaming (TS)
Cole o JSON que você faz POST em /mgmt/shared/telemetry/declare e ele lê de volta para você: confirma a classe de topo Telemetry, lê o Controls opcional, e percorre cada objeto de classe agrupado pelo seu papel no pipeline de telemetria: as fontes de dados que produzem telemetria (system pollers, event listeners), os consumidores que a encaminham para fora (Splunk, Azure, AWS, DataDog, Prometheus e o resto do catálogo), e as classes de agrupamento e endpoint. Ele sinaliza as lacunas de pipeline que fazem uma declaração ter sucesso mas não fazer nada. O TS é a terceira extensão do F5 Automation Toolchain: o AS3 e o DO configuram a caixa, o TS a observa.
RedesExplicador e validador de declaração DO
Cole o JSON que você faz POST em /mgmt/shared/declarative-onboarding e ele lê de volta para você: se é um wrapper de requisição DO ou uma declaração Device pura, as opções de topo, e os objetos de classe do tenant Common agrupados pela fase em que o DO os provisiona, com cada classe nomeada e explicada. Também verifica as regras estruturais que a F5 documenta e sinaliza as pegadinhas que mordem em produção, da mudança do padrão de allowService no DO 1.36 a um usuário root sem seu oldPassword. O DO é o irmão do AS3: o DO faz o onboarding de L1-L3, o AS3 os serviços de L4-L7.
Redes
F5XC - F5 Distributed Cloud
Calculadora de rate limit do F5XC
Transforme uma configuração de rate limiter do F5 Distributed Cloud em sua taxa efetiva, teto de burst e comportamento exato de leaky bucket - inclusive por que Disabled não é um bypass e como um lockout de Block se mantém.
Segurança e WAFChecklist e verificador de egress do CE do F5XC
Cole o arquivo de referência de IP/domínio do Customer Edge publicado pela F5 e obtenha um allowlist organizado por propósito e filtrado por tipo de site, a matriz de portas, um texto de solicitação de firewall e um verificador curl-host - analisado a partir do que você cola, nunca uma lista fixa.
RedesExplicador de evento de segurança do F5XC
Cole um evento de segurança do F5XC (WAF, Bot Defense, Service Policy, ou API) e ele decodifica o tipo, a ação e a disposição, o contexto da requisição, e a razão específica pela qual disparou.
Segurança e WAFExplicador de origin pool do F5XC
Cole um spec de origin_pool do F5XC e obtenha ele decodificado - tipos e endereços dos origin servers, a porta do pool, o algoritmo de load balancing e a seleção de endpoint, health checks, e as configurações de TLS para o origin.
RedesExplicador de paths de API do F5XC
Cole a spec OpenAPI / Swagger que você importa para (ou baixa do) F5XC API Protection e ela lista cada path e operação com seu método, parâmetros, request body, respostas, e autenticação.
RedesExplicador de rotas do HTTP LB do F5XC
Cole as rotas de um HTTP load balancer do F5XC e obtenha cada rota decodificada em ordem - tipo, match de path/método/header, ação, mutações de header e WAF por rota - mais um simulador first-match para uma requisição de teste.
RedesExplicador de service-policy do F5XC
Cole uma service_policy do F5 Distributed Cloud e veja exatamente como ela casa: o escopo de servidor, a ordem das regras e a ação e as condições de cada regra. iRules para o XC, decodificado.
Segurança e WAFLinter de objetos do F5XC
Cole um objeto origin_pool, http_loadbalancer, ou app_firewall do F5XC e ele sinaliza configurações arriscadas ou surpreendentes, cada uma com uma severidade e uma explicação fundamentada.
Segurança e WAFMapeador de níveis de segurança TLS do F5XC
Mapeie um nível de segurança TLS do F5 Distributed Cloud para suas versões e cipher suites exatas, ou cole um cipher para ver quais níveis o incluem - a partir da Referência TLS verbatim da F5.
TLS e transporteResolvedor de match de domínio / SNI do F5XC
Cole as listas de domínio de um ou mais HTTP load balancers do F5XC e um hostname de teste, e veja qual load balancer e entrada de domínio vence - exato vence wildcard, com o Default LB pegando o resto.
RedesSeletor de algoritmo de load balancing do F5XC
Um questionário curto recomenda um algoritmo de load balancing do origin pool do F5XC - com o equivalente no BIG-IP, cuidados e onde configurar - e explica o modelo do XC onde o consistent hashing É o método de persistência.
Redes
Mais
Decodificador de stats do iControl REST
Cole uma resposta de stats do iControl REST e receba-a achatada em uma linha por estatística. Ela desembrulha os invólucros entries, nestedStats, value e description, reduz as chaves de URL aos objetos que elas nomeiam e combina contadores de 64 bits que chegam divididos em metades high e low. Transformação puramente local; nada é buscado.
RedesDecodificador do trailer Ethernet da F5
Cole o trailer Ethernet que um BIG-IP acrescenta aos pacotes capturados com as flags de ruído do tcpdump e receba cada campo explicado: direção, slot e TMM, o virtual server, identificadores de fluxo e de par, e a causa de RST informada pelo próprio equipamento. Ela detecta uma seção de provider TLS e deliberadamente não decodifica nada dela, porque a partir da v15 essa seção carrega segredos de sessão. Local e offline.
RedesExplicador de caminhos iControl REST
Cole uma URL do iControl REST e receba a decodificação: o módulo do TMOS, a coleção, o caminho de partição e pastas codificado com til e o seu equivalente em tmsh, subcoleções como members de um pool, e as opções de consulta. Local e offline; nunca contata um equipamento.
RedesExplicador de caminhos RESTCONF do F5OS
Cole um caminho RESTCONF do F5OS e receba a decodificação segmento a segmento: o prefixo do módulo YANG, a hierarquia de contêineres, chaves de lista como tenant=tenant1 e a convenção de prefixação módulo:nó. Explica também a dualidade entre a porta 8888 /restconf e a porta 443 /api, do F5OS 1.8. Local e offline.
RedesExplicador de configuração de tenant do F5OS
Cole um bloco f5-tenants:tenants, da CLI ou do RESTCONF, e receba a leitura em texto claro: o ciclo de vida configured / provisioned / deployed e o que cada estado significa, a imagem e a plataforma a que ela pertence, blades e VLANs, e a alocação de memória conferida contra o mínimo publicado pela F5 de (3,5 × 1024 × vCPU) + 512. Local e offline.
Operações e fieldcraft
Artigos (161)
BIG-IP LTM - Local Traffic Manager
As quatro codificações de cookie do BIG-IP, byte a byte
Um passo a passo preciso pelas quatro formas sem criptografia do cookie de persistência do BIG-IP: IPv4 padrão com seus bytes de endereço invertidos e porta com bytes trocados, IPv4 e IPv6 em route domains, e a forma IPv6, cada uma com uma decodificação resolvida.
Segurança e WAFLerCertificados, chaves e construção de cadeia num perfil SSL
Um perfil client-ssl vincula um certificado de servidor à sua chave privada e, de forma crucial, a um bundle de cadeia que permite aos clientes construir um caminho até uma raiz confiável. O construto moderno cert-key-chain também permite que um perfil sirva vários tipos de certificado, escolhidos por cliente — a base de implantações RSA-mais-ECDSA e SNI.
Certificados e PKILerCipher rules, cipher groups do F5 e por que a expansão é específica de versão
O BIG-IP v13 substituiu as cipher strings editadas à mão por cipher rules e cipher groups, um modelo mais legível onde as rules guardam strings e os groups as combinam com permitir, restringir e excluir. A lista final e ordenada de suites ainda vem da base de cifras específica de cada TMOS, e é por isso que a mesma string expande de forma diferente entre versões.
TLS e transporteLerCiphers TLS 1.3 e TLS 1.2 no BIG-IP
O TLS 1.3 mudou o que é uma cipher suite, e por isso o BIG-IP trata 1.3 e 1.2 de formas diferentes. Uma suite 1.2 agrupa troca de chaves, autenticação e a cifra em massa; uma suite 1.3 nomeia apenas a cifra em massa e o hash. Saber disso explica por que keywords antigas de cipher string não direcionam o 1.3.
TLS e transporteLerComo escolher um método de persistência (e seus modos de falha)
A maioria das necessidades de persistência se resolve com a afinidade por endereço de origem ou com a persistência por cookie, mas os dois métodos têm modos de falha bem conhecidos: a afinidade por origem desmorona atrás de NAT, e o cookie depende de HTTP. Saber onde cada método quebra é o que transforma uma escolha padrão numa escolha consciente.
RedesLerComo fechar o vazamento: criptografia de cookie no BIG-IP
Como impedir que um cookie de persistência do BIG-IP divulgue endereços internos criptografando-o, como fica o valor criptografado, as opções relacionadas de hash e nome de cookie, e os compromissos de cada uma.
Segurança e WAFLerComo garantir forward secrecy no F5 BIG-IP
Forward secrecy não é uma opção que se marca no BIG-IP: é consequência da configuração de cifras de um profile SSL. O artigo mostra como as cipher rules e os cipher groups do BIG-IP determinam se a cipher suite negociada usa troca de chaves efêmera (ECDHE/DHE) ou RSA estático, por que a preferência de cifras do lado do servidor importa e como o TLS 1.3 elimina essa escolha. No fim, mostra como a Fortinet e a Netskope garantem a mesma propriedade.
TLS e transporteLerComo habilitar e desabilitar versões do TLS com o campo options
O campo options de um perfil SSL é uma lista de flags, e as flags de protocolo funcionam por SUBTRAÇÃO: uma versão do TLS é oferecida a menos que uma flag no- correspondente a desabilite. Essa lógica de 'desabilitar, não habilitar' é uma fonte frequente de surpresa, e é onde mora a higiene de TLS 1.0/1.1.
TLS e transporteLerComo ler uma cipher string do F5
Uma cipher string do F5 é uma lista ordenada de conjuntos de cifras separados por dois-pontos, onde cada conjunto combina palavras-chave com um sinal de mais e um operador inicial pode excluir, remover ou rebaixar a prioridade. Quando você consegue ler a gramática, uma string densa como ECDHE:RSA:!SSLv3:@STRENGTH torna-se um conjunto claro de instruções.
TLS e transporteLerCookies de persistência do BIG-IP: o que são e por que vazam
Por que um F5 BIG-IP insere um cookie BIGipServer, o que a persistência por cookie faz, o que o valor do cookie realmente codifica e por que a forma padrão, sem criptografia, entrega um endereço interno e uma porta a qualquer um que leia a resposta.
Segurança e WAFLerEspelhamento de persistência em um par HA
Os registros de persistência vivem na memória do BIG-IP ativo. Em um failover, o standby assume as conexões, mas a menos que a persistência tenha sido espelhada para ele, ele não conhece os mapeamentos cliente-member existentes, e clientes podem ser rebalanceados no meio da sessão. O espelhamento troca um pouco de overhead por sessões grudentas que sobrevivem ao failover.
RedesLerFallback de persistência e as configurações match-across
Um virtual server pode ter dois métodos de persistência, um primário e um fallback, usado quando o primário não encontra registro, e três configurações match-across que decidem até onde um registro de persistência é compartilhado. As duas coisas são fáceis de configurar errado, de um jeito que só aparece quando o sistema está sob carga.
RedesLerFamílias de cifras: o mapa de trabalho
Toda suíte de cifras é montada a partir de um pequeno conjunto de famílias de algoritmos, e cada família carrega suas próprias vantagens, desvantagens e história. Bloco versus fluxo, AES versus ChaCha20, por que os modos AEAD substituíram o velho padrão monte-você-mesmo, o que RSA, curvas elípticas e (EC)DHE contribuem, e quais famílias já estão aposentadas - a contraparte de criptografia do mapa de famílias de hash.
TLS e transporteLerMétodos de balanceamento do BIG-IP, e o que cada um pondera
O load-balancing-mode de um pool decide quem recebe a próxima conexão, e o BIG-IP documenta 19 deles. Eles diferem em dois eixos: se reagem ao estado dos servidores, e o que exatamente ponderam quando reagem, conexões, sessões, velocidade de resposta ou medições de monitores.
RedesLerMétodos de persistência do BIG-IP e em que cada um se baseia
O BIG-IP oferece vários métodos de persistência, e a única coisa que têm em comum é o objetivo: enviar um cliente que retorna ao mesmo membro do pool. Aquilo em que cada um se baseia, cookie, endereço de origem, ID de sessão SSL ou um valor extraído por iRule, decide onde cada um se encaixa e onde cada um falha.
RedesLerMétodos e configurações de persistência por cookie no BIG-IP
Além do que um cookie de persistência do BIG-IP contém, há a questão de como ele chega lá. O BIG-IP oferece quatro métodos de cookie, insert, rewrite, passive e hash, e um conjunto de opções de profile para o nome, o tempo de vida e as flags de segurança do cookie. Elas decidem o comportamento operacional do cookie, separado do seu valor codificado.
Segurança e WAFLerO que um cookie do BIG-IP conta a um atacante
O cookie de persistência é um caso clássico de divulgação de informação: revela endereços IP internos, portas, tamanho do pool e route domains a qualquer cliente. Por que isso importa para reconhecimento, como scanners coletam o cookie e como pensar sobre o risco.
Segurança e WAFLerOneConnect: reuso é um problema de agrupamento, e o SNAT reescreve os grupos
O OneConnect estaciona conexões ociosas do lado servidor e as entrega à próxima requisição elegível. A source mask define elegível, de 0.0.0.0 compartilhando entre todos os clientes a uma máscara de host mantendo o reuso por cliente. A pegadinha que ambos os artigos K declaram: o SNAT traduz primeiro, a máscara vê apenas o endereço traduzido, então um endereço SNAT significa um grupo.
RedesLerOrdenação e negociação de ciphers no BIG-IP
Uma cipher string expandida é uma lista ordenada, e a ordem não é cosmética: com preferência de servidor, o BIG-IP escolhe o primeiro cipher da sua própria lista que o cliente também suporta. Isso torna a posição de cada cipher um controle de segurança real, que é por que a expansão os mostra em ordem.
TLS e transporteLerPara onde vão as requisições? Simulação da distribuição do BIG-IP LTM
Um nome de método te diz a regra; a distribuição te diz o resultado. Isto cobre como o BIG-IP LTM de fato espalha N requisições entre os membros do pool: por que o Ratio é um ciclo completo e não uma porcentagem, como o priority group activation deixa tiers mais baixos em standby visível, como o Least Sessions usa a contagem de registros de persistência (e volta para Round Robin sob persistência de cookie), e por que os métodos dinâmicos - Fastest, Observed, Predictive, Dynamic Ratio - não podem ser simulados a partir da configuração.
RedesLerPerfis Client SSL e Server SSL no BIG-IP
Um BIG-IP pode ficar no meio de uma conexão TLS e descriptografá-la. Um perfil client-ssl faz o BIG-IP ser o servidor TLS para o cliente; um perfil server-ssl o faz ser o cliente TLS para o pool. Saber qual lado cada perfil controla é a chave para designs de offload, bridging e recriptografia.
TLS e transporteLerPerfis de protocolo: TCP vivo, TCP congelado e os dois caminhos rápidos
O menu de tcp esconde três decisões. O anúncio do 13.0 da F5 dividiu a família full-proxy em perfis vivos que ela atualiza continuamente (somente leitura, ajustados via filhos) e um trio legado congelado que ainda é distribuído. O FastL4 troca o proxy por um caminho de pacotes em hardware, e o FastHTTP é o caso HTTP estreito que precisa passar em todos os critérios da sua lista.
RedesLerPersistência por endereço de origem e o problema do mega-proxy
A persistência por endereço de origem fixa um cliente a um pool member pelo seu IP, o que é simples e agnóstico de protocolo mas frágil na internet moderna. NATs grandes fazem muitos clientes parecerem um só, e clientes móveis mudam de endereço no meio da sessão. Ambos quebram a premissa da qual o método depende.
RedesLerQuais palavras-chave de cifra TLS são seguras e quais não são
A diferença entre uma cipher string robusta e uma perigosa é um punhado de palavras-chave. A forward secrecy vem de ECDHE e DHE; os riscos vêm de RC4, 3DES, SSLv3, EXPORT, NULL e DH anônimo. Conhecer a lista curta permite ler a segurança de uma cipher string num relance.
TLS e transporteLerQuais suítes de cifras usar: o livro-razão de veredictos
A resposta decisiva à pergunta de configuração, camada por camada: o que rodar hoje (o trio do TLS 1.3 mais as suítes AEAD com ECDHE no 1.2), o que é aceitável em nichos estreitos, o que está em declínio, o que é absolutamente proibido e por qual RFC, e o que o futuro reserva - fundamentado no RFC 8446, RFC 9155, nos perfis atuais da Mozilla e no NIST SP 800-52r2.
TLS e transporteLerRenegociação, renegociação segura e OCSP stapling
Três configurações do perfil SSL moldam a segurança do handshake depois da primeira mensagem: renegotiation decide se uma conexão pode renegociar, secure-renegotiation impõe a proteção da RFC 5746, e ocsp-stapling permite que o BIG-IP anexe uma prova de revogação fresca para que os clientes não precisem ligar para a CA.
TLS e transporteLerTLS mútuo com peer-cert-mode
A maior parte do TLS prova o servidor ao cliente. O TLS mútuo também prova o cliente ao servidor, e num BIG-IP isso é trabalho do peer-cert-mode mais um bundle de CA confiável. A lacuna a observar é a diferença entre solicitar um certificado de cliente e de fato exigir e validar um.
Certificados e PKILerTLS pós-quântico no BIG-IP: híbridos ML-KEM do 17.5 ao 21.1
A história pós-quântica do BIG-IP é uma linhagem: a troca de chaves híbrida X25519MLKEM768 chegou na era do 17.5.0, e o 21.1.0 completa a família de curvas NIST com SecP256r1MLKEM768 e SecP384r1MLKEM1024, no TLS do lado do cliente e do lado do servidor, conforme o FIPS 203. Ao redor, o 21.1 torna o lado clássico mais rápido e mais estrito: aceleração de hardware do X25519 via Intel QAT ligada por padrão, perfis SSL pai com padrão TLS 1.3 e DTLS (TLS de datagrama, do inglês Datagram TLS) 1.2, nonce em requisições OCSP e melhorias no C3D. Aqui está o que cada peça significa e como implantar sem quebrar um único cliente legado.
RedesLerTráfego de IA no BIG-IP: o MCP dos profiles à persistência e à proteção
O BIG-IP 21.0 ensinou o TMOS a falar Model Context Protocol com os profiles HTTP, JSON e SSE; o 21.1 deixou o TMOS fluente, com um profile de persistência nativo, o aimcp, que fixa uma sessão de IA num único backend usando um Mcp-Session-ID encapsulado e criptografado, e com um template de política MCP Protection no Advanced WAF, voltado ao OWASP MCP Top 10: tool poisoning, exposição de segredos e injeção. Aqui está o que cada peça faz, conferido nas release notes e nos manuais da F5, incluindo a ressalva que importa: respostas em streaming SSE não passam pela inspeção do lado da resposta. Atualizado para o MCP 2026-07-28, que removeu as sessões no nível do protocolo e o header Mcp-Session-Id e deu aos load balancers os headers Mcp-Method, Mcp-Name e Mcp-Param para rotear o tráfego.
RedesLer
iRules
ASCII: os 128 códigos, e por que a tabela é desenhada assim
Sete bits, oito colunas, dezesseis linhas: como a tabela ASCII é organizada, por que maiúsculas e minúsculas estão a um bit de distância, para que os 33 controles foram definidos e quais ainda fazem alguma coisa, por que espaço em branco depende de quem pergunta, e as referências HTML que parecem ASCII e não são.
Codificação e dadosLerCaracteres escondidos e sósias: o que uma linha de texto pode esconder
Caracteres de largura zero, controles bidirecionais que reordenam o que você vê (Trojan Source), quebras de linha que o seu analisador não enxerga, letras cirílicas que passam por latinas, e as aspas e traços tipográficos que quebram configurações: o que cada um faz, como os documentos de segurança do Unicode os descrevem e como encontrá-los.
Codificação e dadosLerCMP: os núcleos que você pagou, e as linhas de iRule que os devolvem
O clustered multiprocessing roda um TMM por núcleo e espalha os fluxos entre eles. Um virtual server rebaixado roda tudo no TMM0. A lista de rebaixamento é curta e documentada: variáveis globais acima de tudo, com static:: como cura, mais duas armadilhas por TMM (chaves em RULE_INIT, perfis de estatísticas) que não rebaixam mas quebram premissas em silêncio.
RedesLerComandos string do Tcl em iRules: índices, map, match, compare e trim
O comando string faz a maior parte do trabalho com texto num iRule, e cada subcomando tem uma regra que costuma ser errada: índices que leem 010 como octal, um map que é uma passada só, um trim que remove um conjunto de caracteres e não uma palavra, e um compare que põe toda maiúscula antes de toda minúscula.
RedesLerComo escrever uma iRule: a ordem em que as perguntas vêm
Evento primeiro, comandos segundo, custo terceiro. Uma iRule no evento errado não se conserta ficando mais rápida, e é por isso que desempenho é a última pergunta, não a primeira.
RedesLerComo montar strings em iRules: aspas, chaves, append, concat e listas
Aspas substituem, chaves não, e colchetes rodam um comando: quase toda surpresa quando um iRule monta um valor vem dessas três regras. Veja o que o Tcl faz com cada palavra antes de um comando recebê-la, como append, concat e lappend diferem, por que um valor com espaços é uma lista, e como a dupla substituição deixa dados rodarem como código.
RedesLerComparações em iRules: == versus eq, precedência e a volta silenciosa para texto
Num iRule, == compara números quando pode e texto quando não pode, enquanto eq sempre compara texto. Essa regra explica por que 012 == 10 é verdadeiro, por que true == 1 é falso e por que bench vem depois de Chair. Veja as regras de comparação do Tcl 8.4.6, a precedência que agrupa uma expressão e os operadores da própria F5.
RedesLerDesempenho de iRules: ciclos, timing e a calculadora de runtime
Como os iRules realmente executam dentro do TMM (um interpretador Tcl que compila para bytecode), o que o comando timing mede, por que a média de ciclos é o número confiável e o máximo é descartado, e como transformar ciclos em tempo real de execução, custo de CPU por requisição e máximo de requisições por segundo.
RedesLerEventos de handshake SSL em iRules
Os perfis Client-SSL e Server-SSL adicionam seus próprios eventos de iRule em torno do handshake TLS. CLIENTSSL_CLIENTHELLO dispara antes de o handshake concluir, o que torna possível a seleção de perfil e pool baseada em SNI; CLIENTSSL_HANDSHAKE dispara depois. O lado Server-SSL os espelha na conexão com o pool.
TLS e transporteLerFastL4 vs Standard: quais eventos de iRule você tem
Um virtual server Standard é um proxy TCP completo e expõe o conjunto rico de eventos de iRule L7 e SSL. Um virtual server FastL4 é um caminho rápido baseado em pacotes, otimizado para throughput, e deliberadamente abre mão da maioria desses eventos. Escolher o perfil é escolher quais eventos existem.
RedesLerfindstr, substr e getfield: o que a F5 documenta e o que deixa em aberto
A F5 acrescenta três comandos aos iRules para recortar um pedaço de um valor. findstr encontra e pula, substr começa num índice, getfield divide num separador, e dois deles recebem um terminador que é um comprimento ou um texto de parada. Veja cada regra com os próprios exemplos da F5, o Tcl puro que faz o mesmo trabalho e os casos que as páginas da F5 não resolvem.
RedesLeriRules LX, explicado: o que roda onde quando o Tcl chama o Node.js
O iRules LX coloca um processo Node.js ao lado do Traffic Management Microkernel e deixa uma iRule em Tcl chamá-lo com ILX::call, esperar no máximo três segundos por padrão e receber a resposta como um valor Tcl. Este é o mecanismo inteiro, objeto por objeto e comando por comando, a partir da referência da própria F5: workspaces, extensões, plugins e a LX rule; ILX::init, ILX::call e ILX::notify; os modos de processo dedicado e único; o npm sem conexão com a internet; o runtime Node.js 6.9.1 que o BIG-IP 21.1 ainda entrega depois de remover o 0.12; a atualização que costumava quebrar workspaces; e as perguntas a fazer antes de um projeto depender dele.
RedesLeriRules, CMP e o namespace static::
O Clustered Multiprocessing espalha o tráfego de um servidor virtual por todos os TMMs, mas um construto desfaz isso silenciosamente: uma variável global demove o virtual para um único núcleo. É por isso que globais estão descontinuadas, o que o namespace static:: e os data groups fazem no lugar, e como o RULE_INIT amarra tudo.
RedesLeriRules: como escolher entre if, switch, class match e arrays static
Quando um iRule precisa comparar um valor com muitos e agir, há quatro ferramentas comuns: if encadeado, switch, um data group com class match, e um array static:: indexado diretamente. A F5 de fato ordenou essas opções por velocidade. Aqui está essa ordem, e as duas perguntas que decidem qual usar.
RedesLerLado cliente vs lado servidor em iRules
Um virtual server do BIG-IP é um proxy completo: ele mantém uma conexão separada com o cliente e com o membro do pool. Os eventos de iRule rodam em um contexto ou no outro, e comandos como IP::remote_addr retornam coisas diferentes dependendo do lado em que você está. Conhecer essa fronteira evita toda uma classe de bugs confusos.
RedesLerLoops e listas em iRules, e por que eles bloqueiam
iRules suportam foreach, for e while, e a maioria dos comandos de lista do Tcl. Mas loops rodam em linha em um TMM de thread única, então um loop grande por requisição trava aquela conexão. Aqui está qual loop usar, quais comandos de lista você realmente tem, e por que o foreach é o primeiro a buscar.
RedesLerNúmeros em iRules: octal, hexadecimal, e por que 08 não é um número
Os iRules leem números pelas regras do Tcl 8.4.6, e essas regras escondem uma armadilha: um zero à esquerda significa octal, então 010 é oito e 08 nem é um número. Veja como o Tcl lê inteiros e doubles, os dois lugares onde ele os lê, e os valores com zero à esquerda que quebram regras de verdade.
RedesLerO iRules Style Guide do DevCentral, regra por regra, com os motivos
O DevCentral da F5 publicou em 2022 um iRules Style Guide: configurações de editor e vinte regras numeradas. Algumas são questão de gosto, mas várias evitam falhas reais: um iRule que não carrega, um switch que um atacante consegue manipular, uma expressão que roda dados da requisição como código, uma tempestade de log. Veja as regras agrupadas pelo que protegem, com o motivo de cada uma, o que os comentários do guia corrigiram e o que mudou desde que ele foi escrito.
RedesLerO que faz um evento disparar: provisionamento e perfis
Um evento de iRule só está disponível se duas coisas se alinharem: o módulo ao qual ele pertence está provisionado, e o perfil que o produz está anexado ao virtual server. Alguns eventos precisam de um terceiro ingrediente — um comando collect explícito. Especifique um evento cujos pré-requisitos faltam e não há erro; ele simplesmente nunca dispara.
RedesLerOrdem de eventos de iRule: o ciclo de vida da conexão
iRules são orientadas a eventos, e os eventos disparam em uma ordem fixa conforme o BIG-IP processa uma conexão: aceitar o cliente, concluir o handshake TLS do cliente, analisar a requisição, escolher um membro do pool, conectar a ele, concluir o handshake TLS do servidor, enviar a requisição, ler a resposta, encerrar. Conhecer essa ordem é a diferença entre uma iRule que funciona e uma que dá erro.
RedesLerPrioridade de iRule e múltiplas regras
A ordem de eventos governa quais eventos disparam e quando. O comando priority governa algo diferente: quando várias iRules (ou vários handlers) escutam o mesmo evento, qual roda primeiro. A prioridade padrão é 500, números menores rodam mais cedo, e acertar isso importa quando a saída de uma regra alimenta outra.
RedesLerProcedimentos em iRules: código reutilizável com proc e call
Desde o BIG-IP 11.4, um iRule pode definir um bloco de código uma vez como um procedimento e chamá-lo de qualquer lugar, inclusive de outros iRules que não estão anexados a nenhum servidor virtual. Aqui está como proc e call funcionam, como argumentos e padrões são declarados, e a única regra de namespace que confunde todo mundo.
RedesLerscan em iRules: como desmontar valores sem expressões regulares
A própria referência da F5 recomenda comandos de string como scan no lugar de expressões regulares. scan é curto e rápido, mas o resultado conta conversões e não casamentos, -1 e 0 significam coisas diferentes, e o Tcl 8.4.6 guarda inteiros por meio de um int em C de 32 bits. Veja como ler um formato e as verificações que tornam um scan confiável.
RedesLerScripts Expect, lidos devagar: spawn, expect, send e os erros entre eles
O Expect conduz programas interativos desde 1990 com quatro verbos: spawn inicia um, expect espera a saída dele, send digita nele, interact o entrega a você. Engenheiros de rede ainda o escrevem para entrar numa caixa e ler uma resposta. A página de manual é curta e precisa, e quase todo script que se comporta mal quebra uma das frases dela: o timeout padrão de 10 segundos, a ação nula implícita, o padrão que esvazia o buffer, o caractere de retorno, a conexão fechada na saída. Aqui estão essas frases, com o que cada uma custa quando ignorada.
Operações e fieldcraftLerZero ou um: onde o BIG-IP começa a contar
O Tcl conta a partir de 0, vários comandos que a F5 acrescenta contam a partir de 1, contadores devolvem 1 para o primeiro item, muitos zeros da configuração são valores e não posições, e o mesmo segmento de caminho é o elemento 1, o campo 2 ou o índice 1 dependendo de quem pergunta. Veja de onde vem cada um, nas palavras da própria F5, com as armadilhas e os lugares em que as páginas da F5 se contradizem.
RedesLer
TMOS - Traffic Management Operating System · F5OS · Plataformas
A anatomia de um arquivo bigip.conf
Todo objeto de uma configuração BIG-IP segue a mesma forma: um módulo, um componente, um tipo opcional, um nome e um corpo delimitado por chaves. Quando você enxerga esse padrão, uma parede de configuração tmsh vira uma árvore legível de virtual servers, pools, monitores e perfis.
RedesLerA cadência mais rápida da F5: lançamentos endurecidos e notificações de segurança mensais
Em 6 de julho de 2026 a F5 mudou de uma cadência trimestral para mensal de lançamentos de segurança: lançamentos de software endurecido na terceira quarta-feira de cada mês a partir de 15 de julho, e notificações de segurança um mês depois começando em 19 de agosto. Aqui está exatamente o que mudou, por que a F5 diz que mudou, o que permanece igual, e o que isso significa para como você aplica patches.
RedesLerA história operacional do BIG-IP 21.x: upgrade in-place, plano de controle 64-bit e BigD em escala
O BIG-IP 21.1 muda como você atualiza (in-place, com verificação de compatibilidade Dry Run), do que o plano de controle é feito (mergeD 64-bit, Java 21, bibliotecas TMSH 64-bit), como ele sobrevive à pressão de memória (prioridade OOM para o MCPd), a velocidade das respostas (MCPD multi-thread e um BigD multi-thread de 15.000 monitores) e como migra (UCS platform-migrate com validate). Cada afirmação vem das release notes da F5, incluindo os limites honestos: in-place não é in-service, e o 21.x não roda em iSeries nem VIPRION.
RedesLerA Service Check Date do BIG-IP, e por que uma atualização pode se recusar a carregar
Toda versão do BIG-IP carrega uma License Check Date estática, e toda licença carrega uma Service Check Date. Se a data da licença for anterior à data da versão, o sistema atualizado inicializa mas silenciosamente se recusa a carregar sua configuração. Aqui está o que é cada data, de onde ela vem e como a verificação funciona.
RedesLerAnatomia de um arquivo de licença do BIG-IP
O arquivo /config/bigip.license é legível por humanos, e aprender a lê-lo responde perguntas operacionais reais: quais módulos estão de fato licenciados, quais são os limites de throughput e sessões, se um upgrade vai carregar e se o BIG-IQ está gerenciando a licença. Aqui está o arquivo, seção por seção, a partir de duas licenças reais de laboratório.
RedesLerArquivos UCS: o backup do BIG-IP que contém tudo
Um User Configuration Set (UCS) é o backup completo do dispositivo: configuração, licença e - a parte que as pessoas esquecem - as chaves privadas SSL. Este artigo cobre criar e restaurar arquivos, o que existe dentro do pacote, as flags que importam ao restaurar em hardware diferente, e por que o armazenamento de longo prazo é uma decisão de segurança.
RedesLerBIG-IP, TMOS e F5OS: uma linha do tempo de versões para deslizar
O BIG-IP a plataforma e o TMOS o software eram a mesma coisa até 2004, quando a versão 9.0 os separou e migrou a caixa de BSD para um host Linux com o microkernel TMM. Esta linha do tempo interativa desliza do BIG-IP Controller de 1997 até o BIG-IP 21.0, mostrando a versão do software e o sistema operacional embaixo dele em cada passo, incluindo por que os números saltam direto de 17 para 21.
RedesLerCapEx versus rede por assinatura: o que a comparação costuma deixar de fora
A comparação que um fornecedor traz põe o custo de capital do equipamento contra uma assinatura mensal e chega à resposta que o fornecedor vende. Os dois modelos são legítimos, e a comparação honesta entre eles é mais longa do que um slide: os itens que cada lado omite, o crescimento que faz um preço por usuário se mover, o período de sobreposição pago duas vezes, as licenças já pagas, o que a organização possui no fim de cada prazo, e as três perguntas que um comitê financeiro deve fazer antes de acreditar em qualquer total.
Operações e fieldcraftLerComo capturar com segurança em um BIG-IP de produção
O tcpdump em um BIG-IP toca o plano de dados e o sistema de arquivos de um dispositivo que está carregando tráfego ao vivo. Alguns hábitos, limitar a captura, observar o espaço em disco e ser deliberado quanto ao detalhe, evitam que uma captura de diagnóstico vire um incidente.
RedesLerComo capturar em VLANs, self-IPs e trunks
0.0 captura em todas as interfaces da TMM, mas às vezes você quer restringir a captura a um segmento. O BIG-IP permite indicar uma VLAN, um self-IP ou outros especificadores de interface no lugar de 0.0, e cada escolha muda o que você vê.
RedesLerComo é uma RFP tecnicamente justa
A maior parte da má contratação é decidida quando o pedido de proposta é escrito, e não quando as propostas são abertas. Uma RFP justa descreve o resultado com precisão suficiente para ser pontuado, declara o ambiente em que a solução vai cair, separa o que precisa ser verdade do que seria bom, e fecha as brechas que um fornecedor interpretaria a favor dele. O que isso exige na prática: a estrutura, a redação de requisito que pode ser testada, a evidência a pedir, a pontuação publicada antes, e as perguntas que um fornecedor deve poder fazer.
Operações e fieldcraftLerComo funciona um virtual server do BIG-IP
Um virtual server é a porta de entrada de um BIG-IP. Ele vincula um IP e uma porta de escuta, aplica uma pilha de perfis, decide a persistência, escolhe um membro do pool e traduz o endereço de origem em direção ao backend. Ler essas partes em ordem mostra exatamente como uma conexão será tratada.
RedesLerComo implantar aplicações com templates: iApps e FAST
Templates transformam um punhado de virtual servers, pools, perfis e monitores em um serviço de aplicação gerenciado como unidade. Como os iApps funcionam, o que o strict updates protege, como o FAST moderniza a ideia de forma declarativa, como modificar uma aplicação implantada de cada jeito, e como reconhecer objetos criados por template numa configuração.
RedesLerComo ler o que um BIG-IP diz sobre si mesmo
Um BIG-IP se descreve em cinco linguagens: uma gramática de configuração, dois esquemas de endereçamento de API vindos de tradições diferentes, um arquivo de licença, um par de datas que decide se ele pode ser atualizado e um calendário de releases. Seis ferramentas de referência deste site leem uma linguagem cada. Este é o mapa de como as seis se encaixam, e a ordem em que lê-las quando um equipamento cai na sua mesa.
RedesLerComo ler o status do BIG-IP: dashboard, Network Map, TMSH e netstat
O dispositivo conta sua condição por meia dúzia de superfícies: o painel LCD, o dashboard, as formas e cores do Network Map, os comandos show do TMSH, as estatísticas de objetos e o humilde netstat. Saber qual superfície responde qual pergunta - e como ler uma tabela de portas em escuta - é o feijão com arroz da administração.
RedesLerComo ler uma captura do BIG-IP: o trailer da F5 no Wireshark
Uma captura feita com o sufixo de detalhe da TMM carrega bytes extras após cada pacote. Sozinho, isso parece ruído. Com o dissecador f5ethtrailer, o Wireshark transforma isso em campos legíveis que dizem exatamente como o BIG-IP tratou cada fluxo.
RedesLerComo os monitores de saúde do LTM decidem ativo ou inativo
Um monitor de saúde é a sondagem que um BIG-IP usa para decidir se um membro de backend pode receber tráfego. Suas strings de envio e recebimento, seu intervalo e timeout, e onde ele está anexado determinam juntos com que rapidez uma falha é percebida e como um membro é marcado como inativo.
RedesLerComo recuperar um BIG-IP que não carrega a config após uma atualização
Quando um BIG-IP atualizado inicializa mas sua configuração nunca carrega, a causa usual é uma service check date mais antiga do que a nova versão exige. A correção é reativar a licença, o que redefine a data. Aqui está como reconhecer, como reativar com segurança e como evitar da próxima vez.
RedesLerConfig Sync no BIG-IP: quando sincronizar, e por que falha
O config sync mantém os membros de um device group com a mesma configuração - quando você mandar, na direção que você mandar. Este artigo cobre sync manual versus automático, a leitura do status, a disciplina recomendada e a lista curta de causas-raiz por trás de quase toda falha de sincronização.
RedesLerDo 301A e 301B ao novo LTM Specialist: uma reestruturação fiel, e o pouco que ela descartou
As seis novas provas beta do LTM Specialist mapeiam quase objetivo por objetivo sobre os blueprints aposentados do 301A e do 301B - a reestruturação é notavelmente fiel. Os deltas genuínos são poucos e específicos: failover serial, ssldump e um marcador de síntese se foram; F5OS tenants, monitoração In-TMM, Telemetry e FAST chegaram. O que mudou, e o que os itens descartados ainda ensinam.
RedesLerNíveis de detalhe da TMM e peer flows (:n, :nn, :nnn, :p)
O sufixo com dois-pontos na interface de captura do BIG-IP é a parte mais confusa e mais útil da sintaxe. Ele controla quanto metadado interno da TMM é anexado a cada pacote e se você captura um lado da conexão ou os dois.
RedesLerPacket filters: o checkpoint antes de tudo, e a chave que vem desligada
Packet filters do BIG-IP são uma política de acesso baseada em BPF sobre o tráfego de entrada, avaliada como uma lista global única em ordem ascendente, primeira correspondência terminal vence. A chave mestra vem desabilitada, exceções trusted superam qualquer regra que você escreva, ARP e os ICMPs importantes passam direto por padrão, conexões estabelecidas são invisíveis para ela, e a porta de gerenciamento nunca a encontra. E mais: a partir da v16 existe um segundo objeto, sem relação, usando o mesmo nome.
RedesLerPools e métodos de balanceamento no BIG-IP
Um pool é o grupo de members de backend para o qual um virtual server envia tráfego, e o método de balanceamento decide qual member recebe cada conexão. Os métodos se dividem em estáticos, que seguem um padrão fixo, e dinâmicos, que reagem à carga ao vivo, e a escolha molda quão uniforme e quão inteligentemente o tráfego se espalha.
RedesLerProfiles em um virtual server
Um virtual server do BIG-IP não tem um comportamento fixo; ele é montado a partir de profiles, cada um configurando uma camada da conexão. Profiles de protocolo, de aplicação, de SSL e de persistência se empilham para definir como o tráfego é tratado, e herdam configurações de profiles pais, que é a chave de como a config do BIG-IP se mantém gerenciável.
RedesLerQuando a consolidação de fornecedores reduz custo de verdade, e quando não reduz
Consolidar num único fornecedor é vendido como simplicidade e economia, e às vezes é as duas coisas. A economia é real onde a integração era cara, onde vários times faziam o mesmo trabalho em consoles diferentes, e onde o desconto do pacote dura mais que o prazo. Não é real onde o segundo produto é mais fraco e a lacuna é preenchida com esforço, onde uma única renovação agora carrega todas as funções de uma vez, e onde a saída de tudo vira um projeto que ninguém vai começar. Como distinguir os dois casos antes de assinar.
Operações e fieldcraftLerSNAT e o problema do tráfego de retorno
Para uma conexão balanceada funcionar, a resposta do pool member precisa voltar pelo BIG-IP. Se o member roteia seu tráfego de retorno direto para o cliente, a conexão quebra. O SNAT resolve isso tornando o BIG-IP o endereço de origem ao qual o member responde, ao custo de esconder o IP real do cliente.
RedesLertcpdump no BIG-IP: como ele difere do tcpdump padrão
Em um BIG-IP, o tcpdump é o mesmo binário que você conhece do Linux, mas a interface em que você captura não é uma NIC. A interface especial 0.0 e os sufixos de detalhe exclusivos da F5 mudam como você monta o comando. Esta é a base para todo o resto.
RedesLerTipos de virtual server do BIG-IP, e o que cada um realmente faz
Um BIG-IP descarta tráfego por padrão; o virtual server é o listener que o aceita, e seu tipo decide o modelo de processamento, de um full proxy que termina e reorigina conexões a um encaminhador pacote a pacote que se comporta como roteador. Escolher o tipo é escolher quanto a caixa pode entender.
RedesLerUpgrade vs Update no BIG-IP: por que a distinção decide se a data de licença é verificada
A F5 traça uma linha precisa entre um upgrade e um update, com base em qual parte do número de versão muda. Não é só terminologia: a service check date só é imposta em um upgrade, então saber qual dos dois você está fazendo diz se uma data de licenciamento pode te bloquear.
RedesLer
BIG-IP DNS (antigo GTM - Global Traffic Manager)
Como o iQuery conecta o BIG-IP DNS ao resto da rede
O iQuery é o protocolo XML que o BIG-IP DNS usa para saber se os objetos que ele resolve estão realmente no ar. Este artigo percorre a malha: gtmd e big3d, as conexões de longa duração na TCP 4353, a confiança por certificado SSL que o bigip_add estabelece, o que o iqdump mostra e a razão clássica de um virtual server estar verde no LTM mas vermelho no DNS.
RedesLerDNS como motor de política: multi-RPZ no BIG-IP 21.1
Response Policy Zones transformam um resolvedor em ponto de aplicação de política, e o BIG-IP DNS 21.1 transforma um feed em muitos: até 65.535 zonas RPZ por cache DNS, avaliadas por precedência configurável, transferidas com segurança via TSIG HMAC-SHA-512, e armadas com o conjunto completo de ações RPZ, de NXDOMAIN e CNAME de jardim murado a PASSTHRU, DROP e TCP-only. Respostas A por FQDN substituem o único IP global de jardim murado, e os gatilhos vão além do QNAME para IP do cliente e IP da resposta.
RedesLerGSLB em dois níveis: o wide IP escolhe o pool, e o pool escolhe o servidor
O equívoco mais comum sobre o BIG-IP DNS é tratar o balanceamento global como uma decisão só. São duas: primeiro o wide IP escolhe um pool, depois esse pool escolhe um virtual server, e cada nível pode usar um método diferente. A decisão em dois níveis, passo a passo, com um exemplo prático.
RedesLerLoad balancing no BIG-IP DNS: o wide IP, o pool e a cadeia de três passos
Uma resposta GSLB é decidida duas vezes: o wide IP escolhe um pool, e o pool escolhe um membro através de uma cadeia preferred, alternate e fallback. A cadeia carrega as regras em que as pessoas tropeçam: o alternate só pode ser estático, o fallback ignora disponibilidade de propósito, e None cascateia até um agregado via BIND.
RedesLerRegistros de topologia do GTM: o Longest Match ordena, não escolhe
O balanceamento por topologia dá pontuação aos candidatos a partir de uma lista ordenada de registros, e o que o Longest Match faz de fato é essa ordenação. O primeiro registro que casa com um candidato define a pontuação dele, os registros seguintes ficam sombreados e a maior pontuação vence. É por isso que um wildcard com peso alto pode, sim, vencer um /32 com peso baixo.
RedesLerUma consulta, sete atendentes: a ordem de processamento do BIG-IP DNS
Uma consulta DNS que chega a um listener do BIG-IP pode ser respondida por iRules, pelo processamento DNSSEC, por um wide IP de GSLB, pelo DNS Express, por um cache DNS, pelo BIND local ou por um pool de servidores DNS reais. A F5 documenta uma precedência rígida entre eles, e a maioria das surpresas no BIG-IP DNS, do registro que responde quando você esperava o GSLB ao Rapid Response que deixa o BIND mudo, se explica quando você lê essa ordem do jeito certo.
RedesLer
F5 AWAF - Advanced WAF (antigo BIG-IP ASM - Application Security Manager)
Aprendizado automático em produção: como um atacante envenena uma política de WAF
Deixado em modo de aprendizado Automatic sobre tráfego não confiável, o Policy Builder do BIG-IP Advanced WAF aceita e aplica uma sugestão assim que seu learning score chega a 100%, e algumas sugestões desabilitam violações ou ampliam entidades. Um atacante que inunda tráfego de aparência legítima a partir de fontes suficientes consegue levar um afrouxamento a 100% e abrir um buraco. O design do F5 resiste a isso com limites de fontes, sessões e tempo, mas a postura segura é aprendizado Manual por padrão e construir apenas a partir de tráfego confiável.
Segurança e WAFLerBlocking vs Transparent: o que o modo de enforcement do Advanced WAF realmente faz
O enforcementMode de uma política de WAF decide se ela protege ou apenas observa. Em modo blocking, requisições que disparam uma violação configurada para bloquear são rejeitadas. Em modo transparent, nada é bloqueado mesmo quando uma violação dispara, então a política é somente monitoramento. Confundir os dois é um dos erros mais comuns em WAF.
Segurança e WAFLerComo lidar com falsos positivos no Advanced WAF: triagem por rating, depois ajuste com escopo
Um falso positivo é tráfego legítimo que dispara uma política de segurança. No F5 AWAF - Advanced WAF (antigo BIG-IP ASM - Application Security Manager) o violation rating é o sinal de triagem: ratings 1 e 2 são provavelmente falsos positivos que você pode aceitar, rating 3 precisa de investigação, e ratings 4 e 5 bloqueiam mesmo com os Block flags desligados e devem ser limpos em vez de relaxados. A correção é sempre com escopo na URL ou parâmetro específico, nunca um disable para toda a política, e a regra que rege tudo é relaxar apenas onde um falso positivo de fato ocorreu.
Segurança e WAFLerComo uma política declarativa do BIG-IP Advanced WAF é estruturada
Uma política declarativa de WAF é um arquivo JSON que descreve uma política de segurança como um conjunto de ajustes sobre um template base. A chave para lê-la é o modelo de template e ajustes: tudo o que a política não menciona mantém o padrão do template, então uma seção ausente significa padrão, não desativado.
Segurança e WAFLerContent profiles do Advanced WAF: como analisar JSON, XML, GraphQL e GWT com segurança
Um content profile diz ao Advanced WAF como analisar um payload estruturado, JSON, XML, GraphQL, GWT ou texto simples, para que ele possa aplicar assinaturas de ataque a campos individuais e impor limites estruturais que barram abuso do parser e negação de serviço. Veja o que cada tipo de profile faz, os atributos de defesa que importam e as boas práticas e cuidados.
Segurança e WAFLerData Guard: como mascarar dados sensíveis nas respostas
O Data Guard é a proteção do lado da resposta do Advanced WAF. Ele examina as respostas do servidor em busca de informações sensíveis, como números de cartão de crédito, números de Seguro Social dos EUA e padrões personalizados, e as mascara antes que cheguem ao cliente. Diferente da maioria das verificações de WAF, que inspecionam a requisição, o Data Guard protege o que vaza para fora.
Segurança e WAFLerF5 DataSafe: criptografia de camada de aplicação no lado do cliente, e suas arestas
O DataSafe é a camada de proteção contra fraude da F5 que criptografa campos sensíveis dentro do navegador, antes que um Trojan ou key logger no navegador consiga lê-los. Ele injeta JavaScript que criptografa os dados no lado do cliente com uma chave pública por sessão, decifrada no BIG-IP com a chave privada. Veja como funciona, o que cada recurso faz e os cuidados que pegam as pessoas.
Segurança e WAFLerL7 Behavioral DoS (BaDoS): como o Advanced WAF aprende o normal e mitiga o resto
O L7 Behavioral DoS é a defesa por machine learning do Advanced WAF contra DDoS na camada de aplicação. Ele aprende uma baseline de tráfego normal, observa o estresse do servidor e, quando o servidor sofre, constrói assinaturas dinâmicas e isola os IPs bad-actor, mitigando com medidas escalonadas. Veja como funciona, os dois modos de detecção e os cuidados que importam.
Segurança e WAFLerPolíticas aninhadas no Advanced WAF: herança pai/filho e microsserviços de política
O Advanced WAF oferece duas formas de estruturar a configuração de política em camadas em vez de escrever uma política plana: políticas pai e filho, em que os filhos herdam elementos obrigatórios de um pai, e microsserviços de política de segurança, em que uma única política carrega subconfigurações aninhadas correspondidas por hostname e URL. Veja como cada uma funciona e quando usá-la.
Segurança e WAFLerPor que o AWAF bloqueou, na ordem que responde mais rápido
Quatro perguntas, feitas numa sequência específica: o que exatamente foi bloqueado, o bloqueio estava errado, quanta confiança essa assinatura merece, e o que mudou. Fora de ordem, uma triagem de dez minutos vira uma tarde inteira.
Segurança e WAFLerSession Tracking do Advanced WAF: como encontrar e deter o cliente por trás das requisições
O session tracking permite que o Advanced WAF identifique o usuário, sessão, dispositivo ou IP por trás de um fluxo de requisições, e aja sobre essa identidade, registrando, adiando o bloqueio ou bloqueando tudo, quando um cliente cruza um limiar de violações. Veja como funciona a session awareness, as três ações e por que o rastreamento por usuário supera o rastreamento por session ID.
Segurança e WAFLerSinais e desafios no lado do cliente: como o Advanced WAF distingue um navegador de um bot
Para separar navegadores reais de automação, o Advanced WAF injeta JavaScript nas respostas e lê o que retorna, uma verificação de integridade do cliente, uma sondagem de capacidades, um fingerprint de dispositivo e, em último caso, um CAPTCHA. Veja o que cada artefato coleta, a ordem em que escalam e os cuidados que os quebram.
Segurança e WAFLerStaging de assinaturas e o período de prontidão para enforcement
Staging é como o Advanced WAF permite que uma assinatura de ataque nova ou atualizada corresponda e registre sem bloquear, para que você a revise antes que ela possa rejeitar tráfego. Combinado com o período de prontidão para enforcement, isso significa que uma política pode estar em modo blocking e ainda assim não bloquear uma assinatura em staging. Veja como ler esse estado.
Segurança e WAFLerTécnicas de evasão: como o Advanced WAF normaliza a codificação do atacante
Atacantes escondem payloads dentro de codificações incomuns para que uma assinatura nunca veja os caracteres reais. O BIG-IP Advanced WAF responde com oito subviolações de evasão sob a única violação 'Evasion technique detected', cada uma normalizando ou detectando um truque: %u decoding, Apache whitespace, Bad unescape, Bare byte decoding, Directory traversals, IIS backslashes, IIS Unicode codepoints e Multiple decoding. As oito são habilitadas por padrão.
Segurança e WAFLerWAF sobre QUIC: proteção web HTTP/3 no BIG-IP 21.1
O BIG-IP 21.1 estende o Advanced WAF, o Bot Defense e a proteção L7 (camada 7, do inglês layer 7) DoS a virtual servers HTTP/3, com a mesma fidelidade de inspeção do HTTP/1.1 e do HTTP/2 e qualquer tipo de template de política. Os limites importam tanto quanto o recurso: apenas lado do cliente, sem DoS comportamental, sem criação de virtual server HTTP/3 pela UI do WAF, e a implementação de HTTP/3 do LTM continua experimental. Ao lado, o API Security ganha importação de OpenAPI 3.1 e o logging remoto ganha o formato Splunk key-value Extended.
RedesLer
BIG-IP AFM - Advanced Firewall Manager
Contextos do AFM: accept é um bilhete para o próximo posto de controle
O Network Firewall caminha pacotes pelos contextos em ordem fixa: global, route domain, depois virtual server ou self IP, com a porta de gerenciamento à parte. A ação de um casamento é aplicada e o tráfego é processado de novo no próximo contexto, então accept continua, só accept-decisively encerra a caminhada, regras de ICMP em contextos de borda são ignoradas, e staging registra sem aplicar.
RedesLerPolíticas de evicção de conexões: o que o BIG-IP joga ao mar, e quando
A tabela de conexões é finita, e algo decide o que morre primeiro quando ela enche. Antes da 11.6 isso era o adaptive reaper e duas chaves de db; desde a 11.6 é a política de evicção: gatilhos de marca-d'água cujo significado muda com o contexto de anexação, estratégias que o manual honestamente chama de estatísticas e oportunistas, e um bloco de slow-flow com um padrão limpo de monitorar primeiro.
RedesLerProteção contra SYN flood no BIG-IP: cookies, limiares e quem responde primeiro
Um SYN flood ataca o estado half-open da tabela de conexões. A resposta do BIG-IP é o SYN cookie: um SYN-ACK sem estado com o estado codificado no número de sequência. A parte interessante é o empilhamento: limiares globais e por VS no LTM, cookies de hardware por VLAN e um vetor de device do AFM que tem precedência sobre tudo isso, mais um arranjo de limiares que mitiga em silêncio, sem log de ataque.
RedesLer
BIG-IP Zero Trust Access (antigo BIG-IP APM - Access Policy Manager)
Acesso e identidade no BIG-IP 21.1: DCR, SAML nativo e o IPsec volta para casa
A camada de acesso do BIG-IP 21.1 se moderniza em quatro direções ao mesmo tempo: o Dynamic Client Registration do OAuth 2.0 (RFC 7591) deixa clientes, incluindo sistemas de IA agêntica, registrarem a si mesmos com um Initial Access Token; o SAML pelo navegador padrão do sistema vira nativo no Windows e no macOS, destravando fluxos FIDO2 e Entra ID sem as velhas iRules; o Edge Client ganha túneis VPN IPsec de verdade ao lado do SSL-VPN; e o elenco de apoio inclui HTTP Connector em políticas per-session, ES13 no Portal Access e inspeção de endpoint em Ubuntu ARM64.
RedesLerF5 BIG-IP APM como SAML proxy: modos SP e IdP
O BIG-IP APM (agora BIG-IP Zero Trust Access) é um SAML proxy concreto: como reverse proxy na frente de uma aplicação ele age como provedor de serviço SAML, delegando o login a um provedor de identidade externo e então fazendo single sign-on até o backend; ele também pode agir como provedor de identidade SAML que federa SSO a SaaS. Este artigo mapeia os papéis genéricos de SAML proxy sobre os objetos SP service, IdP service e connector do APM.
Segurança e WAFLerMétodos de SSO do APM: um objeto mal configurado pode desligar o SSO da sessão inteira
O capítulo do APM define oito métodos de SSO e afirma um raio de impacto que a maioria dos projetos ignora: um objeto mal configurado de qualquer método que não seja de formulário pode desabilitar o SSO de todos os métodos da sessão; os dois métodos de formulário são os únicos que escapam. E mais: os pré-requisitos do Kerberos (sem keytab, nas palavras do próprio manual), a pegadinha do NTLMv2, que não aceita mais de um header, e o token de senha do FBCI.
Identidade e tokensLerVariáveis de sessão: onde o APM guarda tudo que aprendeu
Toda ação de access policy escreve seus resultados em variáveis session.*, nomeadas por uma anatomia que o manual desenha e lidas por três sintaxes oficiais. A camada tem um contrato que vale memorizar: variáveis seguras são criptografadas, escondidas de relatórios e logs, e legíveis só com -secure, o que faz de um mcget puro numa senha a clássica leitura vazia silenciosa.
Identidade e tokensLer
Automação e Integração
Anatomia de uma declaração AS3: da classe AS3 até o Pool
Uma declaração AS3 do F5 BIG-IP é uma árvore JSON que descreve a configuração desejada, em termos de tenant e application, e deixa o AS3 resolver a ordem das operações. Isto percorre a estrutura de cima a baixo: o wrapper de requisição AS3 versus uma declaração apenas ADC, a classe ADC e seu schemaVersion, o Tenant que vira uma partição, a Application e seu template, e as classes de recurso como Service_HTTP, Pool e TLS_Server, além das regras que tornam uma declaração válida.
RedesLerDeclarative Onboarding: a metade L1-L3 do Automation Toolchain
O AS3 configura serviços de aplicação em um BIG-IP que já está na rede. O Declarative Onboarding é o que o coloca lá: licenciamento, provisionamento, DNS e NTP, VLANs e self IPs e rotas, usuários e cluster, expressos como uma declaração JSON contra um Device com um único tenant chamado Common. Este artigo percorre o modelo, as fases de onboarding e as pegadinhas específicas de versão que mordem em produção.
RedesLerTelemetry Streaming: a extensão do Automation Toolchain que observa em vez de configurar
O AS3 configura serviços de aplicação e o DO faz o onboarding do dispositivo. O Telemetry Streaming é a terceira extensão do F5 Automation Toolchain, e é a que observa em vez de configurar: ele agrega, normaliza e encaminha estatísticas e eventos do BIG-IP para um consumidor como Splunk, ElasticSearch, DataDog ou Prometheus, tudo a partir de uma única declaração JSON. Este artigo percorre o modelo da classe Telemetry, o pipeline de fonte-e-consumidor, e as lacunas que fazem uma declaração ter sucesso sem coletar nada.
RedesLer
F5XC - F5 Distributed Cloud
A anatomia de um origin pool do XC: tipos de origin, seleção de endpoint e TLS para o origin
O que um origin pool contém, as formas de nomear um origin (IP/DNS público, on-site com um locator, K8s/Consul, virtual network, custom endpoint), por que um origin aparece uma vez por Regional Edge, a regra da porta automática (443 com TLS, senão 80), as configurações de TLS para o origin, e por que pesos e prioridades ficam na referência do pool em uma rota, não nos servers.
RedesLerA spec OpenAPI como o inventário de API do XC: paths, auth e a sombra
O XC API Protection é um modelo de segurança positivo construído a partir de uma spec OpenAPI (2.0 ou 3.0.x): os paths e métodos da spec viram o inventário de API que dirige a validação, e endpoints não documentados são Shadow APIs. Isto cobre por que a spec é a fonte da verdade, como o API Discovery gera uma a partir do tráfego, como resolver autenticação corretamente (global vs por operação, e o override público de lista vazia), e por que endpoints com parâmetro de path são a superfície de Broken Object Level Authorization.
RedesLerAções e negação por padrão em service policies do XC
A ação de uma regra é ALLOW, DENY ou NEXT_POLICY. Além do veredito, uma regra pode anexar modificadores como WAF, defesa contra bots ou rate limiting que disparam ao casar. E o sistema inteiro é negar-por-padrão: uma requisição que não casa com nada é negada. Conhecer isso torna o efeito real de uma política legível.
Segurança e WAFLerAlgoritmos de combinação de regras do XC: FIRST_MATCH, ALLOW_OVERRIDES, DENY_OVERRIDES
Quando uma service policy guarda uma lista de regras, o algoritmo de combinação de regras decide a ordem em que são avaliadas. FIRST_MATCH percorre de cima para baixo e para no primeiro acerto. ALLOW_OVERRIDES e DENY_OVERRIDES reordenam primeiro por ação. A escolha muda qual regra vence quando várias poderiam casar.
Segurança e WAFLerAlgoritmos de load balancing e persistência no XC, para quem vem do BIG-IP
No BIG-IP, o método de load balancing e o profile de persistência são dois ajustes separados; no XC, são um só. Por que os algoritmos de consistent hashing (Source IP, Cookie, Ring Hash) SÃO o método de persistência, o que pode entrar no hash, quando usar os algoritmos que não usam hash e como o Load Balancer Override dá persistência por rota.
RedesLerCinco fabricantes de SSE, uma decisão, cinco respostas diferentes
Todo secure service edge precisa responder à mesma pergunta: este fluxo passa? Zscaler, Netskope, F5 Distributed Cloud, FortiSASE e Prisma Access respondem com maquinários genuinamente diferentes, e é nessas diferenças que as migrações dão errado.
Segurança e WAFLerComo ler um evento de segurança do XC: tipo, ação e a razão pela qual disparou
O WAF, Bot Defense, service policies e proteção de API do XC escrevem todos em um stream de eventos de segurança. O campo sec_event_type diz a origem; ação versus ação recomendada (e enforcement/staging) explica por que uma signature que deu match pode não bloquear; e a razão vive em campos diferentes por tipo - signatures/violations/attack types do WAF, o veredito de bot, a service policy e rule que deram match, ou validação OpenAPI e policy hits de API.
Segurança e WAFLerComo o HTTP load balancer do XC escolhe uma rota: first-match, tipos de path e o WAF por rota
As rotas do XC são uma lista ordenada avaliada first-match; os quatro tipos de rota (simple, redirect, direct-response, custom); match de path prefix vs exato vs regex; condições de método/header/query; e como qualquer rota pode anexar ou desabilitar seu próprio WAF.
RedesLerComo o rate limiting do F5XC realmente conta: leaky bucket, burst, bloqueio e overshoot
Por que [1, Seconds, 60] e [1, Minutes, 1] são o mesmo limite, como o leaky bucket e o multiplicador de burst realmente se comportam, a armadilha da mitigação em que Disabled não é desligado, por que a contagem distribuída pode ultrapassar o limite, e por que regras de API em camadas são por primeira correspondência.
Segurança e WAFLerComo o XC decide qual load balancer vence um hostname: listener logic, wildcards e o apex
A advertise policy estreita uma requisição a um IP e porta; dentro dela, o XC escolhe o match de domínio mais específico (exato vence wildcard). O hostname vem do SNI (HTTPS) ou do header Host (HTTP). Um Default load balancer por advertise policy pega o que não deu match. Wildcards são matches de sufixo que não cobrem o apex, certificados wildcard cobrem um único label, e misturar um wildcard com seu apex entre LBs de certificado automático é um perigo.
RedesLerComo uma service policy do F5 XC casa com uma requisição
Uma service_policy do F5 Distributed Cloud tem duas partes: um conjunto de predicados que definem a quais requisições a política se aplica, e uma lista de regras que decidem o que acontece. Uma requisição casa apenas quando todos os predicados no nível da política são verdadeiros e ela casa com uma das regras. Este é o modelo sobre o qual todo o resto se apoia.
Segurança e WAFLerMaiúsculas, minúsculas e transformers nos matchers do XC
Numa service policy do XC, os nomes de header são case-insensitive, mas os valores de header, as chaves de query e os nomes de cookie são case-sensitive. As comparações exatas são feitas byte a byte, a menos que você aplique antes um transformer como LOWER_CASE. Esse é o motivo mais comum de uma regra que parece certa não dar match.
Segurança e WAFLerNíveis de segurança TLS do F5XC decodificados: o que High/Medium/Low negociam, e por que seu scanner sinaliza um load balancer
Os três níveis TLS predefinidos do XC mais o Custom, por que Default é o nível High (mínimo TLS 1.2), como as listas de ciphers são cumulativas, por que um scanner reporta TLS 1.0/1.1 no Medium ou Low, e por que os ciphers RSA estáticos do nível Low são sinalizados como fracos.
TLS e transporteLerO que realmente acontece quando um CE se registra: token, dois REs por GeoIP, IPsec-com-fallback-SSL e o allowlist que faz funcionar
O handshake de registro do CE - call-home com token, dois Regional Edges escolhidos por GeoIP, certificados PKI - por que os túneis do CE preferem IPsec e recorrem a SSL, e como a referência de firewall publicada pela F5 (Secure Mesh v2 vs Legacy, domínios sobre IPs) é o allowlist que permite tudo se conectar.
RedesLerPerigos comuns de configuração do XC que um linter pode pegar
Objetos do XC aceitam configurações que são válidas mas operacionalmente erradas. Isto percorre os perigos que um linter de objeto único pode sinalizar: skip-verification, texto puro, SNI desabilitado e health checks ausentes no origin pool; no-WAF, listeners HTTP puros, redirect de HTTP para HTTPS ausente, WAF desabilitado por rota, sombreamento de rota catch-all, e wildcard+apex no load balancer; e um WAF deixado em modo de monitoramento - além de por que a severidade é um priorizador, não um veredito, e os limites de ler um objeto por vez.
Segurança e WAFLerPredicados e lógica booleana nas regras de service policy do XC
Dentro de uma regra, todos os predicados que você define são combinados com AND, e um predicado que você não define é implicitamente verdadeiro. Dentro de um matcher, os vários valores são combinados com OR. Entender bem esses dois níveis é o que separa uma regra que casa exatamente com o que você queria de uma que, sem avisar, casa com tráfego demais ou de menos.
Segurança e WAFLerService policy do XC vs iRules do BIG-IP: um modelo mental
iRules são scripts orientados a eventos que rodam código procedural enquanto uma requisição é processada. Uma service policy do XC é uma lista declarativa de regras com predicados e ações. Se você pensa em iRules, isto mapeia os conceitos para que você leia políticas do XC sem procurar o equivalente de um bloco when-HTTP_REQUEST.
Segurança e WAFLerVinte perguntas a fazer antes de assinar uma proposta de SASE
Uma proposta de SASE é um arranjo de compra embrulhado em vários produtos, em geral numa assinatura de vários anos, em geral com um desconto que expira logo. As perguntas que decidem se ela serve raramente são sobre funcionalidades. São sobre para onde o tráfego vai, o que o time deixa de enxergar, o que acontece quando o caminho único falha, como é a saída, e o que o preço faz no segundo ano. Vinte delas, agrupadas para que um comitê diretor as faça ao fornecedor por escrito antes que o desconto faça o seu trabalho.
Operações e fieldcraftLer
Mais
A árvore de configuração do NGINX: o que é incluído, em que ordem, e de quem é o worker
Um arquivo, um diretório de fragmentos, e uma ordem de inclusão que decide qual diretiva vence. Mais as duas perguntas de propriedade que explicam a maioria das falhas de permissão: com qual usuário o master roda, com qual os workers rodam, e por que são deliberadamente diferentes.
RedesLerA barra final do proxy_pass no NGINX: um caractere que decide o que seu backend recebe
proxy_pass com uma parte de URI substitui o prefixo do location que casou. Sem ela, a URI original da requisição passa direto. Essa é a regra inteira, é um interruptor binário e não uma questão de grau, e uma única barra basta para virá-lo.
RedesLerAcesso de gerenciamento no BIG-IP: management IP, port lockdown e listas de acesso
Duas portas levam para dentro de um BIG-IP: a interface de gerenciamento dedicada e os self-IPs das VLANs de tráfego. Este artigo cobre configurar e encontrar o endereço de gerenciamento, o que o port lockdown de fato permite num self-IP, as listas de acesso do httpd e do sshd, e como diagnosticar os clássicos casos de management IP inalcançável.
RedesLerACME no BIG-IP: dos scripts do DevCentral a um cliente nativo
Como funciona a automação de certificados Let's Encrypt e outros ACME no F5 BIG-IP: o cliente ACMEv2 nativo introduzido no BIG-IP 21.1.0 (provisionamento, renovação e implantação para qualquer CA ACMEv2), as soluções comunitárias baseadas em dehydrated que vieram antes, o perfil centralizado de gerenciamento de CA Let's Encrypt do BIG-IQ, e onde os conceitos e limites de emissão ACME compartilhados se encaixam.
Certificados e PKILerAlerting customizado no BIG-IP: traps SNMP, e-mail e syslog remoto
O pipeline de alertas observa o fluxo de logs e age nas correspondências: os alertas embutidos vêm no alert.conf, os seus pertencem ao user_alert.conf. Definir um alerta customizado, os três mecanismos de entrega, escolher os níveis de log de tráfego local, e disparar alertas de teste de propósito com o logger.
RedesLerAlta disponibilidade no BIG-IP: device trust, device groups e traffic groups
A alta disponibilidade (HA) no BIG-IP é construída com três objetos fáceis de confundir: o device trust decide quem pode conversar, os device groups decidem o que é compartilhado, e os traffic groups decidem o que de fato flutua entre os dispositivos num failover. Entender como eles se relacionam é a diferença entre um par HA que se comporta e um que surpreende.
RedesLerAVR: Application Visibility and Reporting no BIG-IP
O módulo de analytics on-box que transforma tráfego em estatísticas consultáveis - latência por virtual server, membro de pool, URL e código de resposta. Habilitá-lo com um perfil de analytics, filtrar até a visão que responde sua pergunta, usar tendências de latência para achar a camada lenta, e ler a evidência do AVR sobre má configuração.
RedesLerBIG-IP 21.x: o que mudou, e por que não existem as versões 18, 19 e 20
O TMOS saltou do 17.x direto para o 21.0.0 (novembro de 2025) e o 21.1.0 (maio de 2026), absorvendo a modernização originalmente planejada para o descontinuado BIG-IP Next. Aqui está o quadro completo, verificado nas próprias notas de versão e anúncios da F5: a história da numeração de versões, as regras de plataforma e de ciclo de vida que você precisa checar primeiro, e um tour temático pelo que o 21.0 e o 21.1 realmente entregam, do tratamento de tráfego de IA com MCP e do TLS pós-quântico ao upgrade in-place, ao plano de controle em 64 bits, ao WAF para HTTP/3 e ao multi-RPZ no DNS.
RedesLerCache no NGINX: o que é armazenado, o que é servido, e a brecha por onde dados de usuário vazam
Se uma resposta é armazenada e se uma requisição posterior é servida a partir dela são perguntas diferentes com respostas diferentes. O NGINX protege você de cachear uma resposta com cookie, e não protege de servir uma resposta cacheada a uma requisição com cookie. Essa assimetria é por onde um usuário recebe a página de outro.
RedesLerComo ler estatísticas do BIG-IP
Por que uma resposta de stats do iControl REST vem envolvida em três invólucros, o que significam as metades high e low de um contador, e por que uma única amostra nunca pode dar uma taxa.
RedesLerComo ler um caminho do iControl REST
Por que as URLs do iControl REST têm tis, como o módulo e a coleção são organizados, o que significa um caminho de partição e pastas, e quais opções de consulta mudam o tamanho da resposta.
RedesLerComo ler um caminho RESTCONF do F5OS
O F5OS é operado por RESTCONF sobre YANG, e não por iControl REST sobre o modelo de objetos do TMOS. Este artigo explica como ler um caminho: o prefixo de módulo, a hierarquia de contêineres, as chaves de lista, a convenção módulo:nó e a dualidade entre 8888 e 443.
RedesLerCorrespondência de location no NGINX: por que o bloco que você esperava não foi o que rodou
O NGINX não escolhe o primeiro location que casa, nem o último. Ele segue uma ordem fixa de cinco passos em que a ordem do arquivo importa para exatamente um deles, e é por isso que ler a configuração de cima para baixo engana sobre qual bloco vence.
RedesLerDa interface ao self-IP: as dependências de camada 2 e 3 do BIG-IP
Interfaces se agregam em trunks; trunks e interfaces carregam VLANs, tagged ou untagged; as VLANs sustentam os self-IPs; e as rotas escolhem por onde o tráfego sai. É uma cadeia de dependências em que o status se propaga em cascata, de cada camada para as que dependem dela. Quem lê essa cadeia com fluência responde metade das perguntas de conectividade do blueprint de administração.
RedesLerDo 101 e 201 ao F5-CA: o que as provas aposentadas ensinavam e a trilha nova deixou de cobrar
O blueprint moderno do F5-CA é, na essência, o velho 201 reestruturado em cinco provas modulares - mas a camada de fundamentos do 101 e toda a seção de recursos de suporte do 201 caíram na mudança. Uma comparação blueprint contra blueprint, e por que o material descartado ainda vale estudo para o trabalho, mesmo que não mais para a prova.
RedesLerEUD: diagnóstico de hardware do BIG-IP antes do RMA
A suíte End User Diagnostics é a bateria de testes offline para o hardware BIG-IP - memória, armazenamento, sensores, interfaces - rodando da sua própria imagem de boot, com o sistema operacional fora do caminho. O impacto de executá-la, os requisitos, como dar boot nela e coletar a saída, e onde ela se encaixa entre uma suspeita e uma autorização de devolução.
RedesLerF5OS 2.0 da cadeira do tenant: cloud-init, RRDAG por porta e Q-in-Q
O F5OS 2.0 é a versão da camada de plataforma que os recursos voltados a hardware do BIG-IP 21.1 pressupõem. Verificado contra a documentação de release da F5, este é o ponto de vista do operador de tenant: cloud-init para implantação zero-touch de tenants BIG-IP em VELOS e rSeries (incluindo declarações DO e AS3 no primeiro boot), Round Robin DAG limitado a portas UDP específicas em vez de VLANs inteiras, e Q-in-Q chegando ao VELOS sob o Confd do F5OS, cada um com sua lista exata de plataformas e a exigência de F5OS 2.0 no host dita por extenso.
RedesLerFailover no BIG-IP: estados, forçamento e network failover
Active, standby, offline e forced offline são estados precisos com regras precisas. Este artigo percorre a máquina de estados do failover, a diferença entre forçar standby e forçar offline, network failover unicast versus multicast, e onde olhar quando acontece um failover que ninguém pediu.
RedesLerLimitar requisições, conexões e banda no NGINX: baldes furados e o burst que surpreende
Três limites diferentes, três diretivas diferentes, e um mecanismo comum que vale entender antes de ajustar. O limitador de requisições é um balde furado, e não uma cota por segundo, e burst com nodelay muda seu comportamento de formas que o nome não sugere.
RedesLerO que o BIG-IP escreve dentro da sua captura
O trailer Ethernet da F5 carrega o que o TMM sabia sobre cada pacote — slot, TMM, virtual server, IDs de fluxo e a causa do reset. A partir da v15 ele também pode carregar segredos de sessão TLS, o que muda o que um pcap é.
RedesLerOs arquivos de log do BIG-IP: um mapa do /var/log
Qual log responde qual pergunta: /var/log/ltm para objetos de tráfego e eventos do sistema, /var/log/secure para quem entrou, /var/log/audit para quem mudou o quê - mais a escada de severidade e como ler uma linha de evento. Os troubleshooters mais rápidos são os que abrem o arquivo certo primeiro.
RedesLerOs serviços de sistema por trás de um BIG-IP saudável: DNS, NTP, SNMP, syslog
Quatro configurações pequenas com raio de explosão desproporcional. A resolução de nomes alimenta monitores e licenciamento, a sincronização de tempo sustenta o device trust e cada timestamp de log, o SNMP é como o sistema de monitoração enxerga você, e o syslog remoto é onde a evidência sobrevive. A configuração adequada de cada um, e o que quebra quando estão errados.
RedesLerOs três estados em que um tenant do F5OS pode estar
Configured, provisioned, deployed — e a regra de que mudar vCPU ou memória significa voltar por eles. Além da fórmula de memória publicada, e por que um exemplo de VELOS não vai commitar num rSeries.
Operações e fieldcraftLerqkview e iHealth: o fluxo do retrato de suporte
Um qkview é o autorretrato diagnóstico do dispositivo - configuração, logs e estado do sistema num arquivo. Gere pela interface ou pela linha de comando, envie ao iHealth e leia as heurísticas: correspondências com problemas conhecidos, achados ordenados por severidade e orientação de upgrade. Quando rodar um, e como interpretar o que volta.
RedesLerQUERY encontra o BIG-IP: LTM, iRules e o veredito do Advanced WAF
Como o BIG-IP lida com o novo método HTTP QUERY (RFC 10008): o perfil HTTP do LTM deixa métodos desconhecidos passarem por padrão, o Advanced WAF bloqueia o QUERY como Illegal method até você permiti-lo, e vinte anos de ambiguidade nas iRules entre HTTP::method e HTTP::query de repente importam. O que auditar, onde clicar e por que o corpo continua recebendo inspeção completa.
RedesLerRecarregar o NGINX sem derrubar tráfego, e as primeiras quatro coisas a conferir quando quebra
Um reload não é um restart: o master valida a nova configuração, sobe novos workers, e deixa os antigos terminarem o que estavam fazendo. Saber isso, e saber qual log responde qual pergunta, resolve a maioria dos problemas de NGINX antes que fiquem interessantes.
RedesLerRoute domains: segmentação em camada 3 dentro de um único BIG-IP
Um route domain é uma tabela de roteamento separada, identificada por um ID, que permite a um único equipamento atender tenants cujos espaços de endereçamento se sobrepõem por completo. A notação com o sinal de porcentagem, o strict isolation, os domínios pai e a ligação com as partições: a funcionalidade que o blueprint de LTM pede para você explicar.
RedesLervCMP: hosts, guests e como os recursos são fatiados
O Virtualized Clustered Multiprocessing transforma uma plataforma de hardware em várias instâncias BIG-IP independentes. O modelo host-guest, o ciclo de vida configured-provisioned-deployed, como núcleos de CPU determinam a memória, as regras de versão entre host e guest, e como as VLANs passam do host para o guest.
RedesLer