Air-Gap & Offline Kurulum | Sentinel DB 360

Neden Air-Gap

"Önce kontrol, sonra bağlantı"

SaaS izleme araçlarının çoğu telemetriyi kendi bulutuna gönderir; verinin yurtdışına çıkması bir kısım sektör için doğrudan yasaktır. Sentinel DB 360 baştan offline-first tasarlandı: bağlantı opsiyonel, izolasyon varsayılan.

BDDK / SPK

Bankacılık ve sermaye piyasası

BDDK 5411 sayılı kanun ek tebliğleri ve SPK 6362, kart sahibi/yatırımcı verisinin kontrollü ortamda işlenmesini şart koşar. İzleme aracı bile bu sınırın dışına çıkmamalıdır.

KVKK Yurtdışı Aktarım

KVKK madde 9 — yurtdışı aktarım

Türkiye dışındaki SaaS izleme aracı kullanmak, Kurul iznine bağlı veri aktarımı yaratır. Air-gap kurulum bu zorunluluğu sıfıra indirir, "yeterli koruma" ispatı kolaylaşır.

Savunma & Kamu

Yerli ürün, izole ağ

Savunma sanayii ve TÜBİTAK projeleri "internete kapalı sınıflandırılmış ağ" şartıyla çalışır. Sentinel DB 360 USB ile devreye alınabilir, lisans bile çevrimiçi olmadan etkinleşir.

Sağlık (PHI)

Sağlık verisi tedarik zinciri

Hastane HIS/LIS sistemleri için izleme aracı 3. taraf bulutuna metric göndermemelidir. Air-gap kurulumda LiteLLM yerine Ollama (yerel LLM) AI insights'ı sağlar.

Lisanslama

Offline-first, JetBrains modeli

Lisansınız Ed25519 imzalı bir JWT'dir. Sentinel DB 360 sadece public key ile yerel doğrulama yapar; runtime'da DMC sunucularına bir tek paket gitmez. Internet kesikse de çalışır.

Public Key Doğrulama

Yerel imza doğrulama

Lisans dosyası uygulamayla birlikte gelen public key ile doğrulanır. Diagnostic ekranında public key fingerprint görünür — kurum güvenlik ekibi imzayı denetleyebilir.

Ed25519 imza algoritması (NIST onaylı)
Public key fingerprint diagnostic'te
Lisans claims: müşteri, son tarih, motor sayısı

Runtime Çağrısı Yok

Sıfır telemetri / heartbeat

Lisans çevrimiçi heartbeat istemez, kullanım metrikleri DMC'ye akmaz. CRM tarafında sadece müşteri kayıt bilgisi tutulur (isim, sözleşme), kullanım davranışı asla gönderilmez.

İnternet kesikse uygulama bozulmaz
Trial / dev / prod ayrımı imza içinde
Lisans yenileme: yeni JWT dosyası kopyala, yeniden başlat

CRM Sadece Sözleşme

Cosmos DB sadece CRM

DMC arka planda Azure Cosmos DB üzerinde sadece müşteri ilişkisi (sözleşme, satış kanalı, yenileme tarihi) saklar. Sentinel DB 360 runtime'ı bu Cosmos'a hiçbir zaman çağrı yapmaz.

Cosmos DB ↔ runtime arası veri akışı YOK
Lisans üretimi: tools/issue_license.py CLI
12 birim test imza güvenliğini doğrular

Tüm Özellikler Açık

Air-gap'te kısıtlı sürüm yok

Birçok rakip "online sürümde tüm özellikler, offline'da kısıtlı" politikası uygular. Sentinel DB 360'da air-gap kurulumda da 116 compliance sekmesi, AI insights (Ollama), tüm motorlar tam yetenekle çalışır.

AI insights → Ollama (yerel LLM) opsiyonu
Tüm 4 motor + 116 compliance tab açık
Mail bildirimleri → kurum SMTP / Graph API

Sentinel DB 360 — Admin / License / Diagnostic

OFFLINE OK

EXPIRY14 gün+14 grace

CAPACITY5 / 10instance

RUNTIME CALL0offline ✓

RETENTION60gtier max

VERIFY3sn öncecache hit

🔐 Public Key Fingerprint (Ed25519) Verified

SHA256:dQw4w9WgXcQAEgvYXqVQQq7r5T8xLpZmF3kJ8nP2eKa9

Şeffaflık: kurum güvenlik ekibi imzayı denetleyebilir · DMC sunucularına çağrı YOK

✓ AI Insights ✓ HA Module ✓ Security Center ✓ 116 Compliance ✓ Query Masking

Admin → License → Diagnostic · Ed25519 imzalı offline JWT · runtime telemetry sıfır · public key fingerprint kurum güvenlik ekibi tarafından denetlenebilir

Tek Komut Kurulum

bootstrap.sh: 10 dakikada hazır

İnternetli ortamda görüntüleri çek, ACR'a (veya yerel registry'ye) push'la. Air-gapped sunucuda bootstrap.sh tek komutla MongoDB + tüm 5 servisi kurar.

Adım 1 — Bağlantılı tarafta

Görüntüleri hazırla

Erişimi olan bir host'tan Sentinel DB 360 görüntülerini Azure Container Registry'den çek; docker save ile tek tar dosyası üret; USB / dosya transferiyle air-gapped sunucuya taşı.

5 görüntü: backend, collector, ingestor, advisor, frontend
+ MongoDB 7.0 resmi görüntü
Toplam ~1.2 GB tar dosyası

Adım 2 — Air-gapped tarafta

bootstrap.sh çalıştır

docker load → image'ları yükle, .env dosyasını oluştur (script wizard ile), docker compose up. Hot reload yok, prod-grade defaults.

İnteraktif wizard: JWT_SECRET, MONGO şifresi, lisans dosyası
MongoDB --auth zorunlu, port 27017 dış ağa kapalı
Sağlık kontrolleri: tüm /api/health 200 olunca tamam

Adım 3 — DR & yedek

BACKUP_RESTORE.md runbook

mongo-data klasörü için crontab ile mongodump, snapshot rotasyonu, restore tatbikatı. Air-gap'te bulut yedek olmadığı için bu runbook P0 zorunludur.

Günlük tam + saatlik oplog yedek
Restore tatbikat checklist'i (3 ay periyot)
Disaster recovery RTO / RPO hedefleri

Adım 4 — Reverse proxy

Nginx / Apache / IIS örnekleri

Kurum standardı reverse proxy'ye uyum için 3 hazır örnek: Nginx (Linux), Apache httpd (Linux), IIS ARR (Windows Server). HTTPS, websocket, gzip ayarları dahil.

SSL sertifikası: kendi PKI'nizden
WebSocket upgrade headers hazır
2 systemd unit dosyası (autostart için)

Sevkiyat Paketi

Air-gap kurulumda P0 dökümanlar

INSTALL

INSTALL.md + AIRGAP_INSTALL.md

Bağlantılı kurulum (INSTALL.md) ve internete kapalı kurulum (AIRGAP_INSTALL.md) için iki ayrı runbook. Adım adım, her komut çalıştırılabilir, beklenen çıktı listeli.

RUNBOOK

BACKUP_RESTORE.md

mongodump + oplog tail + LVM snapshot + restore tatbikatı. RTO 30dk / RPO 1sa hedefleriyle. Yıllık 4 tatbikat takvimi.

PROXY

3 reverse-proxy örneği

Nginx, Apache httpd, IIS ARR (Windows Server) için ready-to-use config. WebSocket, gzip, security headers dahil. Kurum PKI'sı ile birlikte çalışır.

Air-Gap'te AI

AI Insights çalışır, veriniz dışarı çıkmaz

LiteLLM abstraction sayesinde Azure OpenAI yerine yerel Ollama (Llama 3, Mistral, vb.) kullanılabilir. AI önerileri, root cause analizi, sorgu yorumlaması — hepsi sizin sunucunuzda kalır.

Yerel LLM

Ollama + Llama 3 / Mistral

Aynı ağda Ollama servisi açın, AI_DEFAULT_PROVIDER=ollama yapın. Türkçe yanıt için AI_LANG=tr. Sorgu metni / plan XML hiçbir zaman dış buluta çıkmaz.

Rule-based Fallback

advisor.py rule-based

LLM kullanmak istemiyorsanız klasik kural tabanlı advisor devreye girer. Performans önerileri, missing index, blocking root-cause analizi — LLM olmadan da kapsamlı.

İnternete kapalı ağlarda tam yetenekle çalışır