Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Backend'im self-signed sertifika kullanıyor; sorun olur mu?
Kısa cevap
Varsayılan ayarlarla sorun olmaz. Kurum Servisinde SSL Service açıkken Certificate Verification varsayılan olarak None'dır: TR7 bağlantıyı şifreler ama sunucunun sertifikasını doğrulamaz, bu yüzden kendinden imzalı, süresi dolmuş ya da başka ada ait sertifika da kabul edilir. Sunucunun kimliği de doğrulanacaksa kendinden imzalı sertifika (ya da onu imzalayan iç CA) Certificates & PKI → Certificate Authorities (CA) ekranına eklenir ve Kurum Servisinde Certificate Verification = Required ile Verification CA Profile alanında bu kayıt seçilir; adın da denetlenmesi için SNI alanı doldurulur (SNI alanı yalnızca HTTP vService'te uygulanır).
İki Seçenek
| Certificate Verification = None (varsayılan) | Certificate Verification = Required | |
|---|---|---|
| Şifreleme | Var | Var |
| Sunucunun kimliği | Doğrulanmaz | Sertifika seçilen CA kaydına zincirlenmeli; SNI doluysa ad da denetlenir |
| Kendinden imzalı sertifika | Kabul edilir | Sertifikanın kendisi CA kaydı olarak eklenip seçilirse kabul edilir |
| Süresi dolmuş sertifika | Kabul edilir | Reddedilir; TR7 sunucuya bağlanamaz |
| Uygun olduğu durum | TR7 ile sunucular aynı güvenilir ağda | Paylaşımlı ya da güvenilmeyen ağ, mevzuat gereksinimi |
Doğrulamayı Açmak
1
Adım 1 CA ekleme formunu aç
Certificates & PKI → Certificate Authorities (CA) ekranında Add tıklanır (nasıl eklenir).
2
Adım 2 Sertifikayı CA kaydı olarak tanımla
CA Name girilir; Operation alanında varsayılan Add a trusted CA certificate bırakılır ve CA Certificate (PEM) alanına sunucunun kendinden imzalı sertifikası (sunucular bir iç CA ile imzalandıysa o CA'nın sertifikası) yapıştırılır.
3
Adım 3 CA kaydını kaydet
Add tıklanır.
4
Adım 4 Kurum Servisinin düzenleme formunu aç
Load Balancer → Backend Services ekranında Kurum Servisi seçilip Edit tıklanır; SSL Service açık olmalıdır.
5
Adım 5 Doğrulamayı aç
Certificate Verification = Required seçilir; görünen Verification CA Profile alanında 3. adımdaki kayıt seçilir. CA kaydı seçilmezse Required seçili olsa da doğrulama yapılmaz.
6
Adım 6 Adı belirt
Sertifikadaki adın da denetlenmesi için SNI alanına sertifikanın CN ya da SAN değerindeki ad yazılır (ör. app01.example.local). SNI boş kalırsa yalnızca zincir doğrulanır, ad denetlenmez. SNI alanı yalnızca HTTP vService'te uygulanır; L7 TCP vService'te alan dolu olsa da sunucuya SNI gönderilmez ve ad denetlenmez.
7
Adım 7 Kaydet
Formun altındaki Edit tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.
Doğrulama başarısız olursa TR7 sunucuyla bağlantı kuramaz; Kurum Servisi listesindeki sağlık durumu ve vService trafiği kontrol edilir. Ayrıntı: Backend'e HTTPS ile bağlanırken backend sertifikasını doğrulayabilir miyim?
Sık Karıştırılan Noktalar
- "SSL Service açıkken TR7 sunucunun kimliğini de doğrular." Varsayılanda yalnızca şifreler; kimlik doğrulaması için Certificate Verification = Required seçilir.
- "Required seçmek yeterlidir." Verification CA Profile seçilmezse doğrulama yapılmaz.
- "Kendinden imzalı sertifikanın süresi dolunca bağlantı kopar." None modunda süresi dolmuş sertifika da kabul edilir; Required modda reddedilir. Required kullanılıyorsa sunucu sertifikalarının süresi izlenir.
- "Kurum Servisindeki SSL Security ayarları bu davranışı değiştirir." Backend SSL Security Profile yalnızca sürüm, cipher ve eğriyi belirler; sertifika doğrulaması Certificate Verification alanındadır.
Dokümantasyonda nasıl yapılır
