TLS 1.0/1.1'i nasıl kapatırım; TLS 1.3 destekleniyor mu?

Kısa cevap

TLS 1.3 desteklenir. TLS 1.0 ve 1.1'i kapatmak için Certificates & PKI → TLS Security Profiles ekranındaki bir profilde Min. SSL Version = TLSv1.2 seçilir ve profil vService'in Details panelindeki SSL Security modülünde seçilir; Max. SSL Version kapalı bırakılır ya da TLSv1.3 seçilirse TLS 1.3 kullanılır. Varsayılan profil (Default Profile) TLS 1.1'e izin verdiği ve düzenlenemediği için yeni bir profil gerekir. TR7'nin Kurum Servislerine bağlantısı için Backend SSL Security Profile, yönetim arayüzü için Management Access ekranındaki Min. TLS Version alanı ayrıca ayarlanır.

Sorun: Eski TLS Sürümleri Güvenlik Taramalarında Açık Görünüyor

TLS 1.0 ve 1.1, RFC 8996 ile kullanımdan kaldırılmıştır ve PCI DSS gibi standartlarda kabul edilmez; güvenlik taramaları ve SSL Labs bu sürümler açıkken notu düşürür. Eski sürümlerin kapatılıp TLS 1.2 ve 1.3'ün bırakılması gerekir.

Çözüm: Dört Yöntem

Yöntemler farklı bağlantılara uygulanır; vService'in istemcilere sunduğu TLS için Yöntem 1 ya da 2 kullanılır, diğerleri gerektiğinde ayrıca uygulanır.

Durumunuz	Uygun yöntem
vService'in istemcilere sunduğu TLS sürümleri	Yöntem 1: TLS Security Profile
Aynı ayar komut satırından	Yöntem 2: WEB-CLI
TR7'nin Kurum Servislerine kurduğu TLS bağlantısı	Yöntem 3: Backend SSL Security Profile
TR7 yönetim arayüzünün HTTPS bağlantısı	Yöntem 4: Management Access

Yöntem 1: TLS Security Profile Önerilen

• Nasıl çalışır Profildeki en düşük sürüm vService'in şifreli frontend satırlarına uygulanır; daha eski sürümle bağlanmaya çalışan istemci el sıkışmada reddedilir. Üst sınır kapalıyken TLS 1.3 de kabul edilir.
• Nerede açılırCertificates & PKI → TLS Security Profiles · vService → Details → Frontend Settings → SSL Security
• Gereksinim vService'te şifreli frontend (Encrypted (HTTPS) ya da TCP + TLS) ve sertifika
• vService tipi HTTP, L7 TCP

Adım adım yapılandırma

1

Adım 1 Profil formunu aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → TLS Security Profiles ekranında Add tıklanır (nasıl eklenir). vService'te zaten özel bir profil seçiliyse o profil seçilip Edit tıklanır. Yeni profil formu Default Profile değerleriyle dolu açılır.

2

Adım 2 Adı gir

Security Profile Name girilir; ad cihazda benzersiz olmalıdır.

3

Adım 3 Sürüm aralığını belirle

TLS Settings (Frontend & Backend) bölümünde Min. SSL Version açık gelir ve TLSv1.1'dir; TLSv1.2 seçilir. Max. SSL Version varsayılan olarak kapalıdır ve üst sınır uygulanmaz, yani TLS 1.3 de kabul edilir; açılırsa TLSv1.3 seçili gelir. Yalnızca TLS 1.3 istenirse Min. SSL Version = TLSv1.3 seçilir. Üst sınır alt sınırın altında seçilirse form Max SSL version cannot be lower than min SSL version hatası verir.

4

Adım 4 Profili kaydet

Formun altındaki Add tıklanır (mevcut profil düzenleniyorsa Edit). Mevcut profil değiştirildiyse onu kullanan bütün vService'lere yapılandırma yeniden uygulanır.

5

Adım 5 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

6

Adım 6 Profili seç

Details panelinde Frontend Settings altındaki SSL Security kutusu işaretlenir; açılan seçicide Default Profile yerine 4. adımdaki profil seçilir (vService'te profil seçimi). Kutu yalnızca en az bir frontend satırında şifreli protokol seçiliyken listelenir.

7

Adım 7 Kaydet

Save tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Eski sürümİstemci tarafı

Aynı adrese üç sürümle bağlanılır.

Komut: openssl s_client -connect 203.0.113.10:443 -servername www.example.com -tls1_1 (sonra -tls1_2 ve -tls1_3)

BeklenenTLS 1.1 el sıkışmada reddedilir · 1.2 ve 1.3 bağlanır

İstemcinin OpenSSL sürümü TLS 1.1'i kendisi kapatmış olabilir; red mesajının sunucudan geldiği sslscan ile de doğrulanır.

2Desteklenen sürümlerTR7 tarafı

TR7 WEB-CLI'da sslscan çalıştırılır.

Komut: sys-cmd sslscan --sni-name=www.example.com 203.0.113.10:443

BeklenenTLSv1.0 disabled · TLSv1.1 disabled · TLSv1.2 enabled · TLSv1.3 enabled

Yöntem 2: WEB-CLI

• Nasıl çalışır Profil ve vService ataması komut satırından yapılır. WEB-CLI ile oluşturulan profil arayüzdeki gibi Default Profile değerleriyle dolmaz: Cipher Algorithms yazılmazsa listenin ilk seti olan zayıf Hardware Supported seti kaydedilir, Restart Undefined TLS Requests kapalı gelir.
• Nerede açılır TR7 WEB-CLI → lb ssl-security add · lb service update
• Gereksinim WEB-CLI erişimi; vService'te şifreli frontend
• vService tipi HTTP, L7 TCP

Adım adım yapılandırma

1

Adım 1 Profili oluştur

En düşük sürüm ve cipher seti açıkça yazılır (sürüm ve şifre alanları):

lb ssl-security add name tls12plus --minSslVersion TLSv1.2 --cipherAlgorithm general --noTlsTickets true

2

Adım 2 Profili vService'e ata

--sslSecurity vService'in profilini bu profille değiştirir; vService'teki SSL Security modülünü de açar:

lb service update id <vService> --sslSecurity tls12plus

Doğrulama

1Kayıt ve sürümlerTR7 tarafı

Profil görüntülenir; ardından Yöntem 1'deki sslscan denetimi yapılır.

Komut: lb ssl-security list

Beklenentls12plus listede

Yöntem 3: Backend SSL Security Profile

• Nasıl çalışır TR7'nin Kurum Servisine kurduğu TLS bağlantısında kullanılacak sürüm aralığı ve cipher listesi bir profille sınırlanır; profilin yalnızca TLS Settings (Frontend & Backend) bölümü uygulanır.
• Nerede açılırLoad Balancer → Backend Services → Edit → SSL Service → Backend SSL Security Profile
• Gereksinim Kurum Servisinde SSL Service açık (sunucu TLS dinliyor)
• vService tipi HTTP, L7 TCP

Adım adım yapılandırma

1

Adım 1 Profili hazırla (gerekiyorsa)

İstenen sürüm aralığına sahip profil yoksa Yöntem 1'in 1–4. adımlarıyla oluşturulur.

2

Adım 2 Kurum Servisinin düzenleme formunu aç

Load Balancer → Backend Services ekranında Kurum Servisi seçilip Edit tıklanır. SSL Service açık olmalıdır; TLS alanları ancak o zaman görünür.

3

Adım 3 Profili seç

Backend SSL Security Profile alanında (varsayılan None) profil seçilir. Bu alanda Default Profile seçeneği yoktur.

4

Adım 4 Kaydet

Formun altındaki Edit tıklanır; Kurum Servisini kullanan bütün vService'lerin sunucu bağlantısı bu profille kurulur.

WEB-CLI karşılığı; komut SSL Service'i de açık tuttuğu için yalnızca TLS dinleyen sunucularda kullanılır:

lb backend update id <kimlik> --sslService true --sslSecurityProfile tls12plus

Doğrulama

1Sunucu bağlantısıTR7 tarafı

Load Balancer → Backend Services listesinde Kurum Servisinin sağlık durumuna bakılır; sunucu TLS 1.2'yi desteklemiyorsa bağlantı kurulamaz.

BeklenenKurum Servisi sağlıklı, vService trafiği akıyor

Yöntem 4: Management Access

• Nasıl çalışır TR7 yönetim arayüzünün HTTPS sürümleri vService profillerinden bağımsız olarak ayarlanır; varsayılan olarak sürüm kısıtı yoktur.
• Nerede açılırSettings → Device Management → Management Access → Edit → HTTPS
• Gereksinim Admin (Super Admin) kullanıcı; HTTPS erişiminde en az bir IP tanımlı
• Kapsam Yönetim arayüzü

Adım adım yapılandırma

1

Adım 1 Düzenleme sekmesini aç

Settings → Device Management → Management Access ekranında Edit tıklanır.

2

Adım 2 Sürümü seç

HTTPS bölümündeki Min. TLS Version alanında TLSv1.2 seçilir (varsayılan Disabled (default)); Max. TLS Version Disabled (default) bırakılırsa TLS 1.3 de kabul edilir.

3

Adım 3 Kaydet

Formun en altındaki Edit tıklanır.

Doğrulama

1Yönetim arayüzüİstemci tarafı

Yönetim adresine TLS 1.1 ile bağlanılmaya çalışılır.

Komut: openssl s_client -connect 192.0.2.5:443 -tls1_1

BeklenenTLS 1.1 reddedilir

Sık Yapılan Hatalar

• SSL Security'yi Default Profile'da bırakmak. Default Profile TLS 1.1'e izin verir ve düzenlenemez; eski sürümler ancak yeni bir profille kapanır.
• SSL Security kutusunu hiç işaretlememek. Kutu kapalıyken vService'e profil uygulanmaz ve sürüm aralığı motorun varsayılanlarına kalır.
• Yalnızca TLS 1.3 için TLS v1.3 Compatible cipher setini seçmek. Sürüm kısıtı cipher setiyle değil Min. SSL Version = TLSv1.3 ile yapılır; cipher listesi TLS 1.2 ve önceki sürümlerin paketlerini belirler, TLS 1.3 paketleri motorun varsayılanlarıdır.
• WEB-CLI'da cipher setini yazmamak. WEB-CLI ile oluşturulan profilde --cipherAlgorithm yazılmazsa zayıf Hardware Supported seti kaydedilir; set açıkça yazılır.
• Yönetim arayüzünün de değiştiğini düşünmek. vService profilleri yönetim arayüzünü etkilemez; Management Access ayrıca ayarlanır.

Dokümantasyonda nasıl yapılır

• TLS Security Profiles · Min. SSL Version
• TLS Security Profiles · vService'te profil seçimi
• Backend Services · Backend SSL Security Profile
• WEB-CLI · lb ssl-security · Sürüm ve şifre alanları

İlgili sorular

• TLS Security Profile nedir, neleri ayarlar?
• Zayıf cipher'ları nasıl devre dışı bırakırım?
• SSL Labs'ten A+ almak için neler yapmalıyım?
• Bir sunucunun desteklediği TLS sürümlerini ve cipher'ları TR7'den nasıl test ederim?