Intermediate certificate chain'i nasıl eklerim?

Kısa cevap

Zincir, sertifika kaydının Intermediate Cert. Content alanına PEM olarak yapıştırılarak (Without Profile), Certificate Authorities (CA) ekranında tanımlı bir CA kaydı seçilerek (Use Profiles) ya da önizlemedeki Chain sekmesinin Suggest Completion önerisiyle eklenir. Yeni yüklemede sertifikanın ardından ara sertifikalar Certificate Content alanına birlikte yapıştırılabilir; PFX dosyasındaki zincir kendiliğinden alınır. ACME.SH ve Internal CA sertifikalarının zincirini TR7 yönetir. Zincir değişikliği sertifikayı kullanan bütün vService'lere ayrıca işlem gerekmeden uygulanır.

Sorun: Bazı İstemciler Sertifikaya Güvenmiyor

Sunucu yalnızca kendi (leaf) sertifikasını gönderirse, ara sertifikayı önbelleğinde tutan masaüstü tarayıcılar çoğunlukla sorun göstermez; mobil uygulamalar, curl, Java ve benzeri istemciler ise zinciri tamamlayamaz ve "güvenilmeyen sertifika" hatası verir. Ara sertifikaların sunucu sertifikasıyla birlikte gönderilmesi gerekir. Eksik zincir önizlemedeki Chain sekmesinde turuncu Missing intermediate certificate — required issuer iletisiyle görünür (Sertifika zincirinin eksik olduğunu nasıl anlarım?).

Çözüm: Üç Yöntem

Üç yöntem de Manual ve PFX türündeki sertifika kayıtları içindir ve birbirinin alternatifidir.

Durumunuz	Uygun yöntem
Ara sertifikanın PEM dosyası elimde	Yöntem 1: Intermediate Cert. Content alanına yapıştırma
Aynı ara sertifika birçok sertifikada kullanılıyor; tek yerden güncellenmeli	Yöntem 2: CA kaydı ile (Use Profiles)
Ara sertifika elimde yok; TR7 bulsun	Yöntem 3: Chain → Suggest Completion
Sertifikayı yeni yüklüyorum; fullchain dosyam ya da PFX dosyam var	Sertifika ve ara sertifikalar Certificate Content alanına birlikte yapıştırılır ya da PFX'teki zincir kendiliğinden alınır → Sertifikamı TR7'ye nasıl yüklerim; hangi formatlar destekleniyor?
Sertifika ACME.SH ya da Internal CA türünde	İşlem gerekmez; zinciri TR7 yönetir

Yöntem 1: Intermediate Cert. Content Alanına Yapıştırma Önerilen

• Nasıl çalışır Ara sertifika, sertifika kaydının kendi zincir alanına yapıştırılır; sertifika ve anahtar değişmez.
• Nerede açılırCertificates & PKI → SSL/TLS Certificates → sertifika → Edit → Intermediate Cert. Content → Without Profile
• Gereksinim Ara sertifikanın PEM, P7B ya da DER (Base64) içeriği
• vService tipi HTTP, L7 TCP (şifreli frontend)

Adım adım yapılandırma

1

Adım 1 Sertifikanın düzenleme formunu aç

Certificates & PKI → SSL/TLS Certificates ekranında sertifika seçilip Edit tıklanır (Edit). Form, listenin üstünde bir Edit sekmesi olarak açılır.

2

Adım 2 Sertifika ve anahtarı koru

Keep Existing Certificate and Key anahtarı açık bırakılır (varsayılan açık). Anahtar açıkken sertifika ve anahtar alanları gizlenir; kayıttaki sertifika ve anahtar değişmez.

3

Adım 3 Ara sertifikayı yapıştır

Intermediate Cert. Content alanında Without Profile seçilir (varsayılan Disabled); açılan kutuya ara sertifika yapıştırılır. Birden fazla ara sertifika varsa sertifikayı imzalayan ara sertifika en üstte olacak sırayla yapıştırılır. Kök sertifika gerekmiyorsa Root Cert. Content Disabled bırakılır; istemciler kökü kendi güven deposundan alır. Bu durumda Chain sekmesi zinciri kök CA'ya kadar kuramadığından eksik imzalayan olarak kök CA'nın adını gösterir; sekmede Trust chain is complete görülmesi isteniyorsa kök sertifika da bu alana eklenir.

4

Adım 4 Kaydet

Formun altındaki Edit tıklanır. Değişiklik onay istemeden kaydedilir ve yapılandırma yeniden uygulanır; sertifikayı kullanan vService'lerde ayrıca işlem gerekmez. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Chain sekmesiTR7 tarafı

Listede sertifika satırına tıklanır; önizlemenin Chain sekmesine bakılır.

BeklenenTrust chain is complete

Kök sertifika eklenmediyse sekme "Missing intermediate certificate — required issuer" iletisinde kök CA'nın adını gösterir; adı geçen imzalayan bir kök CA ise ara sertifika eklenmiştir ve istemci tarafındaki denetim yeterlidir.

2Gönderilen zincirİstemci tarafı

vService'in sunduğu zincir sorgulanır.

Komut: openssl s_client -connect 203.0.113.10:443 -servername www.example.com -showcerts

BeklenenCertificate chain'de leaf ve ara sertifika · Verify return code: 0 (ok)

Yöntem 2: CA Kaydı ile (Use Profiles)

• Nasıl çalışır Ara sertifika bir kez Certificate Authorities (CA) ekranında kaydedilir; sertifikalar bu kayda atıf verir. CA kaydı güncellendiğinde ona bağlı bütün sertifikaların zinciri birlikte güncellenir.
• Nerede açılırCertificates & PKI → Certificate Authorities (CA) · sertifika → Edit → Intermediate Cert. Content → Use Profiles
• Gereksinim Ara sertifikanın PEM içeriği
• vService tipi HTTP, L7 TCP (şifreli frontend)

Adım adım yapılandırma

1

Adım 1 CA ekleme formunu aç

Certificates & PKI → Certificate Authorities (CA) ekranında Add tıklanır (nasıl eklenir).

2

Adım 2 Ara sertifikayı tanımla

CA Name girilir; Operation alanında varsayılan Add a trusted CA certificate bırakılır ve CA Certificate (PEM) alanına ara sertifika yapıştırılır ya da dosya sürüklenir.

3

Adım 3 CA kaydını kaydet

Add tıklanır; kayıt listeye eklenir.

4

Adım 4 Sertifikanın düzenleme formunu aç

Certificates & PKI → SSL/TLS Certificates ekranında sertifika seçilip Edit tıklanır; Keep Existing Certificate and Key açık bırakılır.

5

Adım 5 CA kaydını seç

Intermediate Cert. Content alanında Use Profiles seçilir ve 3. adımdaki CA kaydı seçilir; zincirde birden fazla ara sertifika varsa her biri için ayrı CA kaydı oluşturulup sırayla seçilir. Profil seçildiğinde alana elle yapıştırılmış içerik kullanılmaz. Seçicinin ekleme simgesiyle formdan ayrılmadan yeni CA kaydı da açılabilir.

6

Adım 6 Kaydet

Formun altındaki Edit tıklanır; sertifikayı kullanan vService'lerde ayrıca işlem gerekmez. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Chain sekmesiTR7 tarafı

Sertifikanın önizlemesinde Chain sekmesine bakılır; CA kaydının önizlemesindeki Used in sekmesi kaydı kullanan sertifikaları gösterir.

BeklenenTrust chain is complete

Yalnızca ara sertifika seçildiyse sekme eksik imzalayan olarak kök CA'nın adını gösterir; kök de bir CA kaydı olarak Root Cert. Content alanında seçilirse durum tamamlanır.

Yöntem 3: Chain → Suggest Completion

• Nasıl çalışır TR7 eksik halkayı sırasıyla diğer sertifika kayıtlarının zincirlerinde, CA kayıtlarında ve istenirse sertifikanın taşıdığı imzalayan adresinde (AIA) arar; yalnızca imza doğrulamasından geçen adayları önerir. Öneri onaylanınca bulunan sertifikalar kaydın zincir içeriğine eklenir, mevcut içerik korunur.
• Nerede açılırCertificates & PKI → SSL/TLS Certificates → sertifika önizlemesi → Chain → Suggest Completion
• Gereksinim Manual ya da PFX türünde sertifika; ilgili zincir alanında CA profili seçili olmamalı
• vService tipi HTTP, L7 TCP (şifreli frontend)

Adım adım yapılandırma

1

Adım 1 Chain sekmesini aç

Certificates & PKI → SSL/TLS Certificates ekranında sertifika satırına tıklanır; sağda açılan önizlemede Chain sekmesi seçilir. Zincir eksikse ve gereken imzalayan biliniyorsa Suggest Completion butonu görünür.

2

Adım 2 Öneri iste

Halka TR7'deki kayıtlarda yoksa Also try downloading from the issuer's address (AIA) işaretlenir; Suggest Completion tıklanır. Sonuçta her adayın kaynağı yazılır: from another certificate, from a CA profile ya da downloaded (AIA).

3

Adım 3 Zincire ekle

Add to this certificate's chain tıklanır ve açılan onay kabul edilir; bulunan sertifikalar zincire eklenir ve yapılandırma yeniden uygulanır.

Doğrulama

1Chain sekmesiTR7 tarafı

Önizleme yenilendiğinde Chain sekmesinin üstündeki durum okunur.

BeklenenTrust chain is complete

"No matching issuer certificate was found in this system" iletisinde ara sertifika CA'nın sitesinden indirilip Yöntem 1 ya da 2 ile eklenir.

Sık Yapılan Hatalar

• CA profili seçip ayrıca içerik yapıştırmak. Use Profiles seçildiğinde alana yapıştırılmış içerik kullanılmaz; yalnızca seçilen CA kayıtları zincire girer.
• Ara sertifikaları ters sırada yapıştırmak. Zincir yapıştırıldığı sırayla gönderilir; sertifikayı imzalayan ara sertifika ilk sırada olmalıdır.
• Kök sertifikayı zorunlu sanmak. İstemciler kök sertifikayı kendi güven deposundan alır; zincirde ara sertifikaların bulunması yeterlidir. Chain sekmesindeki eksik halka iletisinde adı geçen imzalayan bir kök CA ise Root Cert. Content alanı doldurularak sekmedeki durum tamamlanır.
• ACME.SH ya da Internal CA sertifikasında zincir alanı aramak. Bu türlerde zinciri TR7 yönetir; ekleme formunda zincir alanları bulunmaz ve Suggest Completion uygulanamaz.

Dokümantasyonda nasıl yapılır

• SSL/TLS Certificates · Sertifika zinciri
• SSL/TLS Certificates · Chain sekmesi
• Certificate Authorities (CA) · Add a trusted CA certificate

İlgili sorular

• Sertifika zincirinin eksik olduğunu nasıl anlarım?
• Tarayıcı "sertifika güvenilir değil" diyor; olası nedenler nelerdir?
• Sertifikamı TR7'ye nasıl yüklerim; hangi formatlar destekleniyor?