TLS Security Profile nedir, neleri ayarlar?

Kısa cevap

TLS Security Profile, TR7'nin kurduğu TLS bağlantılarının nasıl kurulacağını belirleyen yeniden kullanılabilir ayar kümesidir: Min. SSL Version / Max. SSL Version, Cipher Algorithms ve Curve/ECDHE; yalnızca vService tarafında Post-Quantum Key Exchange, Restart Undefined TLS Requests, SSL Hardware Acceleration, SNI/Host Validation, OCSP Stapling, HSTS ve Client Certificate Authentication (mTLS). Certificates & PKI → TLS Security Profiles ekranında tanımlanır; HTTP ve L7 TCP vService'te Details panelindeki SSL Security modülünde, Kurum Servisinde Backend SSL Security Profile alanında seçilir. Kurum Servisi bağlantısına yalnızca sürüm aralığı, cipher listesi ve eğriler uygulanır.

Nasıl Çalışır?

1. Sertifika, vService'in Certificate alanında ayrıca seçilir; profil o sertifikayla kurulan TLS oturumunun kurallarını verir.
2. İstemcinin önerdiği sürüm, cipher ve eğriler profilin aralığıyla kesiştirilir; kesişim yoksa bağlantı el sıkışmada reddedilir. mTLS açıksa istemciden sertifika istenir ve seçilen CA'larla doğrulanır.
3. Bağlantı kurulduktan sonra HTTP vService'te SNI/Host doğrulaması ve HSTS gibi uygulama katmanı korumaları devreye girer.

Ayarlar

Profil formu üç bölümden oluşur (profil ekleme formu):

Bölüm	Ayarlar
TLS Settings (Frontend & Backend)	Min. SSL Version, Max. SSL Version, Cipher Algorithms (sekiz hazır set ya da Manual), Algorithm List (yalnızca Manual'da), Curve/ECDHE; listenin üstünde Import Ciphers / Export Ciphers
Frontend-only Settings	Post-Quantum Key Exchange, Restart Undefined TLS Requests (oturum biletlerini kapatır), SSL Hardware Acceleration, SNI/Host Validation, OCSP Stapling, HSTS (Strict-Transport-Security header) ve alt ayarları HSTS Duration (max-age), Include Subdomains (includeSubDomains), Browser Preload List Flag (preload)
Client Certificate Verification (mTLS) — Frontend	Client Certificate Authentication (mTLS), Client Certificate Verification Type (Optional / Required), CA Certificate Files, CA Verification Error Strategy, CA Verification Errors to Ignore

Nerede Uygulanır?

Yer	Uygulanan ayarlar
vService (Details → Frontend Settings → SSL Security)	Bütün ayarlar; HSTS ve SNI/Host Validation yalnızca HTTP vService'te etkilidir
Backend Service (Backend SSL Security Profile)	Yalnızca TLS Settings (Frontend & Backend) bölümü: sürüm aralığı, cipher listesi ve eğriler (eğriler motor sürümü destekliyorsa)
Health Check	Kendi TLS seçimi yoksa Kurum Servisi profilinin en düşük sürümü ve cipher listesi
Network vService	Kullanılmaz; TLS sonlandırılmaz

Ayrıntı: Ayarların uygulandığı yerler. Profil değiştirildiğinde onu kullanan bütün vService ve Kurum Servisi bağlantılarına yapılandırma yeniden uygulanır.

Varsayılan Profil

TR7'de sistem tanımlı bir Default Profile bulunur; listede görünmez, düzenlenemez ve silinemez (varsayılan profil). vService'te SSL Security kutusu işaretlendiğinde bu profil seçili gelir. Değerleri: Min. SSL Version TLSv1.1, üst sınır yok, Cipher Algorithms = Only Secure Ones (HIGH:!aNULL:!MD5), eğri seçimi yok, Restart Undefined TLS Requests açık; diğer bütün anahtarlar kapalı. Yeni profil formu bu değerlerle dolu açılır.

SSL Security kutusu hiç işaretlenmemiş bir vService'e profil uygulanmaz; sürüm aralığı ve cipher listesi motorun varsayılanlarına kalır. Kurum Servisindeki Backend SSL Security Profile alanında Default Profile seçeneği yoktur; alan None ya da tanımlı bir profil alır.

TR7'de

• Profil oluşturma: Certificates & PKI → TLS Security Profiles → Add; Security Profile Name girilir, bölümler doldurulur ve Add tıklanır (nasıl eklenir).
• vService'te seçme: vService Edit ile açılır; Details panelinde Frontend Settings altındaki SSL Security kutusu işaretlenir, profil seçilir ve Save tıklanır (vService'te profil seçimi). Kutu yalnızca en az bir frontend satırında şifreli protokol seçiliyken listelenir.
• Kurum Servisinde seçme: Kurum Servisi Edit ile açılır; SSL Service açıkken görünen Backend SSL Security Profile alanında profil seçilir ve Edit tıklanır (Kurum Servisi bağlantısında profil).
• Uygulamalar: TLS 1.0/1.1'i kapatmak için TLS 1.0/1.1'i nasıl kapatırım; TLS 1.3 destekleniyor mu?, zayıf cipher'lar için Zayıf cipher'ları nasıl devre dışı bırakırım?, HSTS için HSTS'i nasıl eklerim?.

Sık Karıştırılan Noktalar

• "Profil TR7 yönetim arayüzünün TLS'ini de belirler." Yönetim arayüzünün TLS sürümleri Management Access ekranındaki Min. TLS Version ve Max. TLS Version alanlarıyla ayrıca ayarlanır.
• "Kurum Servisi profilinde HSTS ve mTLS de uygulanır." Kurum Servisi bağlantısına yalnızca sürüm aralığı, cipher listesi ve eğriler uygulanır; TR7'nin sunucuya sunacağı istemci sertifikası Kurum Servisindeki Client Certificate Presented to Backend (mTLS) alanında seçilir.
• "Cipher listesi TLS 1.3 paketlerini de belirler." Cipher listesi TLS 1.2 ve önceki sürümlerin paketlerini sınırlar; TLS 1.3 bağlantılarında motorun TLS 1.3 paketleri kullanılır.
• "Used in sayacı bütün kullanımları gösterir." Önizlemedeki Used in sekmesi yalnızca vService atamalarını sayar; Kurum Servisi kullanımı burada görünmez.

Dokümantasyonda nasıl yapılır

• TLS Security Profiles · TLS Security Profile nedir?
• TLS Security Profiles · Ayarların uygulandığı yerler
• TLS Security Profiles · Varsayılan profil
• TLS Security Profiles · Profil ekleme formu

İlgili sorular

• TLS 1.0/1.1'i nasıl kapatırım; TLS 1.3 destekleniyor mu?
• Zayıf cipher'ları nasıl devre dışı bırakırım?
• İstemci sertifikasıyla kimlik doğrulama (mTLS) yapabilir miyim?