SSL kullanan Kurum Servisi için "Low" ve "Standard" cipher seçenekleri ne anlama gelir, hangisini seçmeliyim?

Kısa cevap

Ciphers alanının varsayılan değeri Standard'dır: TR7 özel bir cipher listesi yazmaz, güvenli varsayılan liste kullanılır; modern sunucular için doğru seçimdir. Low, zayıf ve eski cipher'ları da (RC4, şifresiz NULL cipher'lar dahil) açan bir uyumluluk seçeneğidir; yalnızca başka türlü bağlanılamayan eski bir sunucu için düşünülür. Low TLS sürümünü düşürmez; TLS 1.0/1.1 gerektiren bir sunucu için doğru yol, en düşük sürümü ve cipher'ları açıkça belirlenmiş bir Backend SSL Security Profile'dır. Profil seçildiğinde Ciphers alanının etkisi kalmaz. Alanlar yalnızca SSL Service açıkken görünür.

Nasıl Çalışır?

• Ciphers alanı, SSL Service açık bir Kurum Servisinde TR7'nin sunucuya bağlanırken önereceği cipher listesini belirler.
• Standard: TR7 özel bir cipher listesi yazmaz; güvenli varsayılan liste kullanılır.
• Low: TLS güvenlik düzeyi en düşüğe indirilerek bütün cipher'lar, şifresiz ve kimlik doğrulamasız olanlar dahil, izinli hâle getirilir.
• Öncelik: Kurum Servisinde bir Backend SSL Security Profile seçiliyse cipher listesi, en düşük/en yüksek TLS sürümü ve eğriler profilden gelir; Ciphers alanı yok sayılır.

Karşılaştırma

	Standard	Low	Backend SSL Security Profile
Cipher listesi	Güvenli varsayılan liste	Zayıf ve eski cipher'lar dahil hepsi	Profilde seçilenler
TLS sürümü	Varsayılan	Değişmez	Profildeki en düşük / en yüksek sürüm
Güvenlik	Yüksek	Düşük	Profile bağlı
Health check devralır mı	-	Hayır	Evet (en düşük TLS sürümü ve cipher listesi)
Ne zaman	Varsayılan olarak her zaman	Başka yol kalmadığında, geçici olarak	Eski sunucu ya da kurumsal TLS politikası

Hangisini Seçmeliyim?

Durumunuz	Seçim
Sunucu güncel (TLS 1.2 / 1.3)	Standard
Sunucu yalnızca TLS 1.0 / 1.1 konuşuyor	En düşük sürümü buna göre ayarlanmış bir Backend SSL Security Profile
Kurum politikası belirli TLS sürümlerini ve cipher'ları zorunlu kılıyor	Backend SSL Security Profile
Sunucu yalnızca çok eski bir cipher'ı destekliyor ve profil yetmiyor	Low, sunucu yenilenene kadar

TR7'de

• Yer: Load Balancer → Backend Services → Edit → SSL Service açık → Ciphers ya da Backend SSL Security Profile; formun altındaki Edit butonuyla kaydedilir. Backend Group'ta grup düzeyindedir.
• Profil: Certificates & PKI → TLS Security Profiles → Add ile oluşturulur; Kurum Servisi bağlantısına yalnızca en düşük ve en yüksek SSL sürümü, cipher listesi ve curve ayarları uygulanır (TLS Security Profiles · Kurum Servisi bağlantısında profil).
• Cluster: Clustering açıkken ve Manual Sync Mode kapalıyken (varsayılan) ayar eş cihaza otomatik aktarılır.

Sık Karıştırılan Noktalar

• "Low, TLS 1.0 sunucularına bağlanmayı sağlar." Low yalnızca cipher listesini genişletir; en düşük TLS sürümünü değiştirmez.
• "Low ile trafik geçiyorsa health check de geçer." Health check Low ayarını devralmaz; trafik geçerken HTTPS health check başarısız olabilir. Profil kullanıldığında profilin en düşük TLS sürümü ve cipher listesi, TLS ile yoklayan health check'lere (HTTPS, TCPS gibi) de aktarılır; böylece health check de eski sunucuyla el sıkışabilir.
• "Profil seçiliyken Ciphers alanı da uygulanır." Profil seçildiğinde cipher listesi yalnızca profilden gelir.

Dokümantasyonda nasıl yapılır

• Backend Services · Ciphers
• Backend Services · Backend SSL Security Profile
• TLS Security Profiles · Min. SSL Version

İlgili sorular

• SSL Service seçeneği ne yapar; backend'e şifreli bağlanmak için ne gerekir?
• TLS Security Profile nedir, neleri ayarlar?
• Zayıf cipher'ları nasıl devre dışı bırakırım?