HTTPS health check'te sertifika doğrulaması yapılabilir mi?

Kısa cevap

Evet. HTTPS profilinde Verify Server Certificate açılır; varsayılan olarak kapalıdır ve kapalıyken kendinden imzalı ya da süresi dolmuş sertifikalar da kabul edilir. Doğrulama TR7'nin güvenilir kök sertifikalarına göre yapılır; iç CA ile imzalı sertifikalar için Verification CA Profile alanında CA kaydı seçilir; boş bırakılırsa Kurum Servisinde SSL Service açık ve Certificate Verification Required ise Kurum Servisinin CA profili kullanılır. Ad eşleşmesi yalnızca Virtual Domain (Host/SNI) doluysa denetlenir; sunucu istemci sertifikası istiyorsa Client Certificate to Present (mTLS) alanından sertifika seçilir.

Sorun: Health Check Geçersiz Sertifikayı Fark Etmiyor

Doğrulama kapalıyken health check sunucunun sertifikasına bakmaz; sertifikanın süresi dolsa ya da yanlış bir sertifika yüklense bile sunucu sağlıklı görünür. Veri trafiği sertifikayı doğruluyorsa (Kurum Servisinde Certificate verification Required) istemciler hata alırken sunucu trafikte kalabilir.

Çözüm: 2 Yöntem

İki yöntem aynı ayarı farklı arayüzlerden yapar.

Durumunuz	Uygun yöntem
Profili arayüzden yapılandırıyorum	Yöntem 1: HTTPS profilinde doğrulama
Profili WEB-CLI'dan oluşturuyorum ya da güncelliyorum	Yöntem 2: WEB-CLI

Yöntem 1: HTTPS Profilinde Doğrulama Önerilen

• Nasıl çalışır Health check sunucunun sertifika zincirini TR7'nin güvenilir kök sertifikalarına ve seçilen CA kaydına göre doğrular; Virtual Domain (Host/SNI) doluysa sertifikadaki adı da karşılaştırır. Doğrulama başarısızsa denetim "Certificate error" ile başarısız olur.
• Nerede açılır HTTPS profili → Verify Server Certificate / Verification CA Profile / Client Certificate to Present (mTLS)
• Gereksinim İç CA kullanılıyorsa CA'nın Certificate Authorities (CA) ekranında kayıtlı olması; mTLS gerekiyorsa Client Certificates ekranında istemci sertifikası
• vService tipi Tümü
• Diğer TLS türleri Aynı alanlar TCPS, FTPS, LDAPS, SMTPS ve Use STARTTLS açık SMTP türlerinde de bulunur

Adım adım yapılandırma

1

Adım 1 CA kaydının formunu aç (iç CA kullanılıyorsa)

Sunucu sertifikası kurumun iç CA'sıyla imzalanmışsa ve CA TR7'de kayıtlı değilse sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → Certificate Authorities (CA) yolu izlenip Add'e tıklanır.

2

Adım 2 CA sertifikasını gir

CA Name alanına benzersiz bir ad yazılır; Operation alanında Add a trusted CA certificate (varsayılan) bırakılır ve CA Certificate (PEM) alanına CA sertifikası yapıştırılır.

3

Adım 3 CA kaydını kaydet

Add butonuna tıklanır; kayıt health check formundaki Verification CA Profile listesinde görünür.

4

Adım 4 İstemci sertifikasının formunu aç (mTLS gerekiyorsa)

Sunucu istemci sertifikası istiyorsa ve TR7'de uygun bir istemci sertifikası yoksa Certificates & PKI → Client Certificates yolu izlenip Add'e tıklanır.

5

Adım 5 İstemci sertifikasını gir

Certificate Name alanına benzersiz bir ad yazılır. Kurumun verdiği sertifika için How to Add alanında Import an existing certificate seçilip sertifika ve özel anahtar PEM olarak yapıştırılır; TR7'nin iç CA'sıyla üretilecekse Issue from an internal CA seçilir.

6

Adım 6 İstemci sertifikasını kaydet

Add butonuna tıklanır; kayıt health check formundaki Client Certificate to Present (mTLS) listesinde görünür.

7

Adım 7 Health Checks profilinin formunu aç

Load Balancer → Profiles → Health Checks yolu izlenir; yeni profil için Add'e, mevcut HTTPS profili için profil seçilip Edit'e tıklanır. Yeni profilde Name girilir ve Check Type alanında HTTPS seçilir; TLS alanları formun en üstünde yer alır.

8

Adım 8 Doğrulamayı aç

Verify Server Certificate açılır; Verification CA Profile alanı görünür. İç CA kullanılıyorsa 3. adımda kaydedilen CA seçilir; None bırakılırsa Kurum Servisinin CA profili kullanılır ve profil önizlemesinde From the backend yazar.

9

Adım 9 Adı ve istemci sertifikasını belirle

Sertifikadaki adın da denetlenmesi isteniyorsa Virtual Domain (Host/SNI) alanına sertifikanın düzenlendiği ad yazılır (ör. portal.example.com); bu ad istekte Host başlığı ve TLS bağlantısında SNI olarak da gönderilir. Sunucu istemci sertifikası istiyorsa Client Certificate to Present (mTLS) alanında 6. adımdaki sertifika seçilir; None bırakılırsa Kurum Servisinin Client Certificate Presented to Backend (mTLS) alanındaki sertifika kullanılır.

10

Adım 10 Profili kaydet

Add (düzenlemede Edit) butonuna tıklanır. Profil zaten atanmışsa değişiklik profili kullanan bütün Kurum Servislerine uygulanır.

11

Adım 11 Kurum Servisinin formunu aç

Yeni profil için Load Balancer → Backend Services yolu izlenir; Kurum Servisine sağ tıklanıp Edit seçilir.

12

Adım 12 Profili seç

Health Check alanında profil seçilir.

13

Adım 13 Kaydet

Formun altındaki Edit butonuna tıklanır. Cluster'da değişiklik varsayılan olarak eş cihaza kendiliğinden aktarılır; Manual Sync Mode açıksa Synchronize ile gönderilir.

Doğrulama

1Sağlık durumuBackend Services listesi

Backend Services listesinin Health kolonundaki gösterge kontrol edilir (Health durumu göstergesi).

BeklenenOK (yeşil)

2Doğrulama hatasıHealth Check kartı

Sertifika doğrulanamazsa Kurum Servisi önizlemesindeki Health Check kartının hata şeridinde ve Health Checks sekmesinde hata metni görünür.

BeklenenCertificate error: …

Yöntem 2: WEB-CLI

• Nasıl çalışır TLS alanları --verifyCertificate, --tlsVerifyCa, --virtualDomain ve --tlsClientCert ile yazılır; --tlsVerifyCa yalnızca --verifyCertificate true iken kullanılır.
• Nerede açılır WEB-CLI → lb hc add / lb hc update (lb hc · TLS alanları)
• Gereksinim WEB-CLI erişimi; CA kaydının kimliği (lb ca list)
• vService tipi Tümü

Adım adım yapılandırma

1

Adım 1 Profili oluştur

checkType ve name zorunludur ve bu sırayla yazılır; CA kaydının kimliği lb ca list çıktısından alınır:

lb hc add checkType https name tls-denetimi --uri /health --virtualDomain portal.example.com --verifyCertificate true --tlsVerifyCa <ca-kimliği>

2

Adım 2 Profili Kurum Servisine ata

Profil kimliği lb hc list, Kurum Servisi kimliği lb backend list çıktısından alınır:

lb backend update id <backend-kimliği> --hc <profil-kimliği>

Doğrulama

1KayıtWEB-CLI

Profil kaydı görüntülenir.

Komutlb hc show <profil-kimliği>

BeklenenverifyCertificate true, tlsVerifyCa ve virtualDomain dolu

Sık Yapılan Hatalar

• Kurum Servisindeki doğrulamanın health check'e de uygulandığını sanmak. Health check'in doğrulaması profildeki Verify Server Certificate'a bağlıdır; Kurum Servisinden yalnızca CA profili, istemci sertifikası ve Backend SSL Security Profile'ın en düşük TLS sürümü ile cipher listesi devralınır.
• İç CA'yı kaydetmeden doğrulamayı açmak. Kuruma ait CA ile imzalı sertifika doğrulanamaz ve sunucu Error olur.
• Virtual domain (Host/SNI) boşken ad denetimi beklemek. Alan boşsa yalnızca sertifika zinciri denetlenir; sertifikadaki ad karşılaştırılmaz.
• Verify server certificate kapalıyken CA seçmek. Verification CA Profile yalnızca doğrulama açıkken uygulanır.

Dokümantasyonda nasıl yapılır

• Health Checks · HTTPS
• Health Checks · Verify Server Certificate
• Health Checks · Verification CA Profile
• Backend Services · Certificate Verification
• WEB-CLI · lb hc · TLS alanları

İlgili sorular

• SSL Service seçeneği ne yapar; backend'e şifreli bağlanmak için ne gerekir?
• Health Check'te Host / SNI belirtebilir miyim (Virtual domain)?
• Sunucu çalışıyor ama TR7 onu down gösteriyor; neden?