SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

SSL Service seçeneği ne yapar; backend'e şifreli bağlanmak için ne gerekir? ​

Kısa cevap

SSL Service açıldığında TR7, Kurum Servisine TLS ile bağlanır; böylece trafik istemci ile TR7 arasında olduğu gibi TR7 ile sunucu arasında da şifreli olur (SSL bridging / re-encryption). Gereken tek şey sunucunun Address alanındaki portta TLS dinlemesidir; Certificate Verification'ın varsayılan değeri None olduğundan sunucunun sertifikası doğrulanmaz ve self-signed sertifikalar da çalışır. İhtiyaca göre sertifika doğrulaması, TR7'nin sunucuya istemci sertifikası sunması (mTLS) ve Backend SSL Security Profile ile TLS sürüm/cipher kısıtı eklenir. SSL Service HTTP ve L7 TCP vService'lerde uygulanır.

Sorun: TLS TR7'de Sonlandırılınca Arka Taraf Neden Şifresiz Kalır? ​

HTTPS sitelerde TLS genellikle TR7'de sonlandırılır; TR7 isteği okuyup işler ve Kurum Servisine varsayılan olarak şifresiz iletir. Güvenlik politikası iç ağda da şifreleme istiyorsa ya da Kurum Servisi yalnızca HTTPS kabul ediyorsa TR7'nin sunucuya TLS ile bağlanması gerekir. Bağlantının ne kadar sıkı olacağı (sunucunun kimliğini doğrulamak, TR7'nin kendini sertifikayla tanıtması, eski TLS sürümlerini yasaklamak) ayrı ayarlarla belirlenir.

Çözüm: Dört Yöntem ​

Yöntemler birbirinin üzerine eklenir: Yöntem 1 her durumda gereklidir, diğerleri ihtiyaca göre eklenir.

DurumunuzUygun yöntem
TR7 ile sunucu arası trafik şifrelensinYöntem 1: Yalnızca şifreleme
TR7 sunucunun sertifikasını da doğrulasınYöntem 2: Sertifika doğrulamalı bağlantı
Sunucu TR7'den istemci sertifikası istiyorYöntem 3: mTLS
Sunucuya yalnızca belirli TLS sürümleri ve cipher'larla bağlanılsınYöntem 4: TLS güvenlik profili
  • Nasıl çalışır TR7 Kurum Servisine TLS ile bağlanır; sunucunun sertifikası doğrulanmaz, self-signed ya da süresi dolmuş sertifikalar da kabul edilir.
  • Nerede açılırLoad Balancer → Backend Services → Edit → SSL Service
  • Gereksinim Kurum Servisinin tanımlı portta TLS dinlemesi
  • vService tipi HTTP, L7 TCP

Adım adım yapılandırma ​

1
Adım 1 Formu aç

Load Balancer → Backend Services adımları izlenir; Kurum Servisi seçilip Edit'e tıklanır ya da Add ile yeni Kurum Servisi formu açılır.

2
Adım 2 TLS portunu yaz

Address alanının port kısmına sunucunun TLS dinleyen portu (ör. 443) yazılır.

3
Adım 3 SSL Service'i aç

SSL Service anahtarı açılır (varsayılan değeri kapalıdır). Anahtar açılınca SSL alanları görünür: Ciphers (varsayılan Standard), SNI, ALPN, Backend SSL Security Profile (varsayılan None), Certificate Verification (varsayılan None) ve Client Certificate Presented to Backend (mTLS) (varsayılan None).

4
Adım 4 İsteğe bağlı: SNI ve ALPN

Sunucu aynı IP'de birden fazla sertifika sunuyorsa SNI alanına sunucunun adı yazılır ya da fx ile değişken seçilir; SNI yalnızca HTTP vService'te gönderilir, L7 TCP vService'te alan dolu olsa da gönderilmez. Sunucuya HTTP/2 ile bağlanılacaksa ALPN alanında HTTP 2.0 Enabled seçilir; alan boşken ya da HTTP 2.0 Disabled seçiliyken sunucuya HTTP/1.1 ile bağlanılır.

5
Adım 5 Kaydet

Formun altındaki Edit (yeni kayıtta Add) butonuna tıklanır. Kurum Servisini kullanan vService'ler yeni ayarla yeniden yüklenir; açık bağlantılar kesilmez. Clustering açıkken ve Manual Sync Mode kapalıyken (varsayılan) ayar eş cihaza otomatik aktarılır.

Doğrulama ​

1Sunucu tarafında TLSKurum Servisi tarafı
Komuttcpdump -nn -A host 192.0.2.10 and port 443
BeklenenTR7'den gelen bağlantılar TLS el sıkışmasıyla başlar; istek içeriği okunamaz
TR7 tarafında Kurum Servisinin önizlemesinde SSL Service satırı ve listede ad kolonunda amber kilit simgesi görünür.

Yöntem 2: Sertifika Doğrulamalı Bağlantı ​

Adım adım yapılandırma ​

1
Adım 1 CA formunu aç (gerekiyorsa)

Sunucu sertifikasını imzalayan kök (ve varsa ara) CA TR7'de tanımlı değilse Certificates & PKI → Certificate Authorities (CA) → Add ile CA kaydı ekleme formu açılır. CA zaten tanımlıysa 4. adıma geçilir.

2
Adım 2 CA bilgilerini gir

CA Name zorunlu ve benzersizdir; Operation alanında varsayılan Add a trusted CA certificate bırakılır ve CA Certificate (PEM) alanına sertifika yapıştırılır ya da dosya sürüklenir. Ayrıntı: Kendi iç CA'mı TR7'ye nasıl tanıtırım?

3
Adım 3 CA'yı kaydet

Formun altındaki Add butonuna tıklanır.

4
Adım 4 SSL Service'i aç

Kurum Servisi formu açılır ve SSL Service anahtarı açılır (Yöntem 1, adım 1–3).

5
Adım 5 Doğrulamayı zorunlu yap

Certificate Verification alanında Required seçilir ve yalnızca bu seçimde görünen Verification CA Profile alanından 1–3. adımlardaki CA seçilir.

6
Adım 6 Sunucu adını SNI'ye yaz

SNI alanına sunucu sertifikasındaki ad yazılır; doğrulama açıkken sertifikanın bu adla eşleşip eşleşmediği de kontrol edilir. SNI yalnızca HTTP vService'te uygulanır; L7 TCP vService'te sertifika zinciri ve süresi doğrulanır, ad eşleşmesi kontrol edilmez.

7
Adım 7 Kaydet

Formun altındaki Edit (yeni kayıtta Add) butonuna tıklanır.

Doğrulama ​

1Sağlık ve trafikTR7 tarafı

Kurum Servisinin Health göstergesi ve vService trafiği kontrol edilir.

BeklenenDoğrulanan sunucuya trafik gider; sertifikası geçersiz sunucuya bağlanılmaz

Yöntem 3: mTLS (TR7'nin İstemci Sertifikası Sunması) ​

  • Nasıl çalışır TR7, sunucuya bağlanırken kendini bir istemci sertifikasıyla tanıtır; sunucu yalnızca bu sertifikayı sunan bağlantıları kabul eder.
  • Nerede açılır Kurum Servisi → SSL Service → Client Certificate Presented to Backend (mTLS)
  • Gereksinim Sunucunun güvendiği CA tarafından imzalanmış bir istemci sertifikasının TR7'ye yüklenmiş olması
  • vService tipi HTTP, L7 TCP

Adım adım yapılandırma ​

1
Adım 1 Sertifika formunu aç (gerekiyorsa)

TR7'nin sunacağı sertifika henüz yoksa Certificates & PKI → Client Certificates → Add ile sertifika ekleme formu açılır. Sertifika zaten tanımlıysa 4. adıma geçilir.

2
Adım 2 Sertifika bilgilerini gir

Certificate Name zorunlu ve benzersizdir. How to Add alanında Import an existing certificate seçilirse Certificate (PEM) ve Private Key (PEM) girilir (anahtar şifreliyse Key passphrase (if encrypted) de); Issue from an internal CA seçilirse Issuing CA, Certificate Profile ve Person or Device (CN) belirlenir.

3
Adım 3 Sertifikayı kaydet

Formun altındaki Add butonuna tıklanır. Kurum Servisinin bu sertifikayı kabul etmesi için sertifikayı üreten CA'ya güvenmesi gerekir.

4
Adım 4 SSL Service'i aç

Kurum Servisi formu açılır ve SSL Service anahtarı açılır (Yöntem 1, adım 1–3).

5
Adım 5 Sertifikayı seç

Client Certificate Presented to Backend (mTLS) alanından 1–3. adımlardaki sertifika seçilir.

6
Adım 6 Kaydet

Formun altındaki Edit (yeni kayıtta Add) butonuna tıklanır.

Doğrulama ​

1Sunucu loguKurum Servisi tarafı

Sunucunun TLS ya da erişim logunda istemci sertifikasının konusu (DN) görülür.

BeklenenClient certificate: CN=tr7-backend-client …

Yöntem 4: TLS Güvenlik Profili ​

  • Nasıl çalışır Seçilen TLS güvenlik profilinin en düşük/en yüksek TLS sürümü, cipher listesi ve curve ayarları TR7'nin sunucuya açtığı bağlantıya uygulanır; istemci sertifika doğrulaması gibi frontend'e özgü alanlar burada etkisizdir.
  • Nerede açılır Kurum Servisi → SSL Service → Backend SSL Security Profile
  • GereksinimCertificates & PKI → TLS Security Profiles altında uygun bir profil
  • vService tipi HTTP, L7 TCP

Adım adım yapılandırma ​

1
Adım 1 Profil formunu aç (gerekiyorsa)

Backend SSL Security Profile alanında Default profile seçeneği yoktur; alan None ya da tanımlı bir profil alır. Uygun profil yoksa Certificates & PKI → TLS Security Profiles → Add ile profil formu açılır (nasıl eklenir); aynı form, Kurum Servisi formunda alanın listesindeki ekleme butonuyla da açılır. Profil zaten tanımlıysa 4. adıma geçilir.

2
Adım 2 Profili tanımla

Security Profile Name zorunlu ve benzersizdir; form Default profile değerleriyle dolu açılır. Kurum Servisi bağlantısına yalnızca TLS Settings (Frontend & Backend) bölümündeki en düşük ve en yüksek SSL sürümü, cipher listesi ve curve ayarları uygulanır. Profil oluşturma ayrıntısı: TLS 1.0/1.1'i nasıl kapatırım; TLS 1.3 destekleniyor mu?

3
Adım 3 Profili kaydet

Formun altındaki Add butonuna tıklanır.

4
Adım 4 SSL Service'i aç

Kurum Servisi formu açılır ve SSL Service anahtarı açılır (Yöntem 1, adım 1–3).

5
Adım 5 Profili seç

Backend SSL Security Profile alanından profil seçilir. Profil seçildiğinde Ciphers alanının etkisi kalmaz; cipher listesi profilden gelir.

6
Adım 6 Kaydet

Formun altındaki Edit (yeni kayıtta Add) butonuna tıklanır.

Doğrulama ​

1Anlaşılan TLS sürümüKurum Servisi tarafı

Sunucunun TLS logunda TR7 bağlantılarının protokol ve cipher bilgisine bakılır.

BeklenenProfilde izin verilen TLS sürümü ve cipher

Sık Yapılan Hatalar ​

  • Required seçip CA profilini boş bırakmak. CA seçilmezse ya da CA'nın içeriği boşsa doğrulama sessizce yapılmaz; bağlantı doğrulanıyor sanılır.
  • Sunucu şifresiz dinlerken SSL Service'i açmak. TR7 TLS el sıkışması başlatır, sunucu yanıt veremez ve bağlantı kurulamaz; istekler hata ile döner. Health check türü düz HTTP ya da TCP ise Kurum Servisi bu durumda da OK görünebilir; SSL Service açıkken TLS ile yoklayan bir tür (HTTPS, TCPS) seçilir.
  • Profil seçiliyken Ciphers alanını değiştirmek. Alan görünür kalır ama cipher listesi profilden gelir.
  • Low cipher'ın eski TLS sürümlerini açtığını sanmak. Low yalnızca cipher listesini genişletir; TLS 1.0/1.1 gerektiren eski bir sunucu için en düşük sürümü düşük bir TLS güvenlik profili kullanılır.
  • Health check'in her ayarı devraldığını sanmak. TLS ile yoklayan health check türleri (HTTPS, TCPS, SMTPS, FTPS, LDAPS ve Use STARTTLS açık SMTP) Kurum Servisinin mTLS sertifikasını, Required seçiliyken CA'sını ve TLS güvenlik profilinin en düşük TLS sürümüyle cipher listesini devralır (health check profilinde Client Certificate to Present (mTLS) ya da Verification CA Profile ayrıca seçilmişse profildeki seçim geçerlidir); SNI'yi devralmaz, SNI health check profilindeki Virtual Domain (Host/SNI) alanından gelir.

Dokümantasyonda nasıl yapılır

İlgili sorular