SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Temel

SSL offloading (termination) nedir, nasıl yapılır? ​

Kısa cevap

SSL offloading (termination), istemcinin TLS bağlantısının Kurum Servisinde değil TR7'de sonlandırılmasıdır: sertifika TR7'de durur ve TR7 trafiği çözer. TR7'de HTTP vService'in frontend satırında Protocol alanında Encrypted (HTTPS) grubundan HTTP/1.1 ya da HTTP/2, L7 TCP vService'te TCP + TLS seçilir ve Certificate alanında sertifika seçilip vService kaydedilir. TR7'den Kurum Servisine giden bağlantı varsayılan olarak şifresizdir; o bağlantının da şifrelenmesi için Kurum Servisinde SSL Service açılır (SSL bridging nedir; backend'e giden trafiği de nasıl şifrelerim?).

Nasıl Çalışır? ​

  1. İstemci vService'in şifreli frontend satırına bağlanır; TLS el sıkışmasını TR7 yapar ve istemcinin istediği alan adına (SNI) uyan sertifikayı sunar.
  2. TR7 trafiği çözer. HTTP vService'te istek HTTP olarak işlenir; WAF, Conditions, Actions, Cache ve Compression içerik üzerinde çalışır. L7 TCP vService'te çözülen trafik bayt akışı olarak iletilir.
  3. TR7, Kurum Servisine kendi bağlantısını açar. Kurum Servisinde SSL Service kapalıysa (varsayılan) bu bağlantı şifresizdir; açıksa TR7 sunucuya yeni bir TLS bağlantısı kurar.

Nasıl Yapılır? ​

Aşağıdaki adımlar HTTP vService içindir; L7 TCP vService'te 5. adımda Protocol = TCP + TLS seçilir.

1
Adım 1 Sertifika ekleme formunu aç (gerekiyorsa)

Kullanılacak sertifika TR7'de yoksa Certificates & PKI → SSL/TLS Certificates ekranında Add tıklanır (nasıl eklenir).

2
Adım 2 Sertifikayı tanımla (gerekiyorsa)

Certificate Name girilir; ayrı PEM dosyaları için Type = Manual seçilip Certificate Content ve Key Content girilir, PKCS#12 dosyası için Type = PFX seçilip dosya ve parolası girilir (Sertifikamı TR7'ye nasıl yüklerim; hangi formatlar destekleniyor?).

3
Adım 3 Sertifikayı kaydet (gerekiyorsa)

Formun altındaki Add tıklanır; sertifika listeye eklenir.

4
Adım 4 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

5
Adım 5 Şifreli frontend satırını tanımla

Frontend listesindeki satırda Port = 443, Protocol = Encrypted (HTTPS) grubundan HTTP/2 (ya da HTTP/1.1) seçilir.

6
Adım 6 Sertifikayı seç

Şifreli bir satır seçilince görünen Certificate alanında sertifika seçilir; sertifika seçilmezse satır şifresiz dinler.

7
Adım 7 Kaydet

Save tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

TLS sürümleri ve cipher'lar için vService'in Details panelindeki SSL Security modülünde bir profil seçilir; 80 portundan gelenlerin HTTPS'e yönlendirilmesi için HTTP'den HTTPS'e yönlendirmeyi nasıl yaparım? sayfasına bakılır.

TR7'de ​

vServiceNasıl
HTTPFrontend satırında Protocol alanında Encrypted (HTTPS) grubundan HTTP/1.1 ya da HTTP/2 (isteğe bağlı HTTP/3 rozetli hâlleri) seçilir; Certificate alanında sertifika seçilir
L7 TCPFrontend satırında Protocol alanında Encrypted (TLS) grubundaki TCP + TLS seçilir; Certificate alanında sertifika seçilir
NetworkTLS sonlandırılmaz; frontend satırında Protocol alanı yoktur
  • Certificate alanı, en az bir frontend satırında şifreli bir protokol seçildiğinde formda görünür.
  • TLS sürümleri ve cipher'lar vService'in Details panelindeki SSL Security modülünde seçilen profille belirlenir. Modül işaretlendiğinde Default Profile seçili gelir; bu profilde en düşük sürüm TLSv1.1, cipher seti Only Secure Ones'tır (Default Profile).
  • Sertifikanın kendisi önce Certificates & PKI → SSL/TLS Certificates ekranında eklenir (Sertifikamı TR7'ye nasıl yüklerim; hangi formatlar destekleniyor?).

Sık Karıştırılan Noktalar ​

  • "Şifreli protokolü seçmek yeterlidir." Certificate alanında sertifika seçilmezse satır TLS sonlandırmaz, şifresiz dinler; form kaydı engellemez.
  • "Offloading Kurum Servisine giden trafiği de şifreler." Varsayılan olarak şifrelemez. Bunun için Kurum Servisinde SSL Service açılır; bu yapılandırma SSL bridging'dir.
  • "L7 TCP'de TLS sonlandırınca WAF da çalışır." WAF, Cache, Compression ve HTTP başlık aksiyonları yalnızca HTTP vService'te vardır; L7 TCP'de TLS çözülse de içerik HTTP olarak işlenmez.
  • "Protocol bütün vService için geçerlidir." Her frontend satırının kendi Protocol değeri vardır; 80 portlu satır HTTP bırakılırsa site şifresiz de erişilebilir kalır. Yönlendirme için o satırda HTTP → HTTPS seçilir (HTTP'den HTTPS'e yönlendirmeyi nasıl yaparım?).

Dokümantasyonda nasıl yapılır

İlgili sorular