SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

TR7'yi iç CA olarak kullanıp sertifika üretebilir, otomatik yenileyebilir ve iptal edebilir miyim? ​

Kısa cevap

Üretme ve otomatik yenileme evet, iptal hayır. TR7'de kök ve issuing CA oluşturulur; Certificate Profiles ile sertifikaların ömrü ve yenileme süresi tanımlanır. Type = Internal CA sertifikalar bu profille üretilir ve süresi dolmadan kendiliğinden yenilenir; kayıt ve vService atamaları korunur. Client Certificates ekranındaki istemci sertifikaları otomatik yenilenmez. Sertifika iptali, CRL ve OCSP yanıtlayıcısı yoktur.

Üretim ​

1
Adım 1 Kök CA formunu aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → Certificate Authorities (CA) ekranında Add tıklanır (nasıl eklenir).

2
Adım 2 Kök CA'yı tanımla

CA Name girilir; Operation = Create Root CA seçilir ve Common Name (CN) girilir (zorunlu). Key Algorithm (varsayılan RSA 4096) ve Lifetime (days) (varsayılan 3650) gerekirse değiştirilir.

3
Adım 3 Kök CA'yı kaydet

Add tıklanır.

4
Adım 4 Issuing CA formunu aç

Aynı ekranda yeniden Add tıklanır.

5
Adım 5 Issuing CA'yı tanımla

CA Name girilir; Operation = Create Issuing CA seçilir. Usage = Server Certificates (istemci sertifikaları için Client Certificates), Parent CA = 3. adımdaki kök CA seçilir ve Common Name (CN) girilir. Sertifikalar kökle değil, bu CA ile üretilir.

6
Adım 6 Issuing CA'yı kaydet

Add tıklanır.

7
Adım 7 Profil formunu aç

Certificates & PKI → Certificate Profiles ekranında Add tıklanır (nasıl eklenir).

8
Adım 8 Profili tanımla

Profile Name girilir; Usage = TLS Server seçilir. Lifetime (days) (varsayılan 365) ve Renew this many days before expiry (varsayılan 30; 0 otomatik yenilemeyi kapatır) belirlenir; Extended Key Usage, SAN Template ve Key Algorithm gerekirse değiştirilir.

9
Adım 9 Profili kaydet

Add tıklanır.

10
Adım 10 Sertifika formunu aç

Certificates & PKI → SSL/TLS Certificates ekranında Add tıklanır (nasıl eklenir).

11
Adım 11 Sertifikayı tanımla

Certificate Name girilir; Type = Internal CA seçilir. Issuing CA = 6. adımdaki CA, Certificate Profile = 8–9. adımlardaki profil seçilir; Common Name (CN) ve Alternative Names (SAN) girilir.

12
Adım 12 Sertifikayı kaydet

Add tıklanır; anahtar ve sertifika cihazda üretilir. Sertifika vService'in Certificate alanında seçilerek kullanılır. İstemci sertifikaları Certificates & PKI → Client Certificates ekranında, Client Certificates kullanımlı bir issuing CA ve Client / mTLS kullanımlı bir profille üretilir (nasıl eklenir).

WEB-CLI'da CA ve profil hazırsa sertifika tek komutla üretilir; <issuing-ca> ve <profil> yerine kayıtlar Tab ile seçilir (issue-internal):

text
lb certificate issue-internal name portal-ic caId <issuing-ca> profileId <profil> cn portal.example.local --san "portal.example.local,api.example.local"

Yenileme ​

Davranış
OtomatikHer gün 07:00 ve 22:00'de ve cihaz açıldıktan birkaç dakika sonra denetlenir; kalan süre profildeki gün sayısının altına inince yeni anahtar ve seri numarasıyla yeniden üretilir
ElleSertifika listesinde sağ tık menüsünden Renew Now (internal CA); WEB-CLI'da aşağıdaki komut
KapsamSSL/TLS Certificates listesindeki Internal CA sertifikaları; Client Certificates ekranındakiler otomatik yenilenmez
vService'lerKayıt aynı kaldığı için yeni sertifika kendiliğinden sunulur
SonuçBaşarılı ya da başarısız her yenileme Settings → System Logs → User Logs ekranına yazılır (ör. Internal CA certificate could not be renewed)
ClusterYenileme, sertifikayı üreten cihazda yapılır; sonuç yapılandırmayla birlikte eş cihaza gönderilir

Elle yenileme komutu; komut onay ister ve vService yeni sertifikayla yeniden yüklenir (renew-internal):

text
lb certificate renew-internal certId portal-ic

İptal ​

  • Sertifika iptali, CRL üretimi ve OCSP yanıtlayıcısı yoktur; üretilen sertifikalarda iptal bilgisinin adresi (CRL ya da OCSP) bulunmaz.
  • Bir sunucu sertifikasının kullanımına son vermek için sertifika vService'ten kaldırılır ya da silinir. mTLS'te istemcileri toplu olarak dışarıda bırakmak için ilgili CA, TLS Security Profile'daki CA Certificate Files listesinden çıkarılır.

Sık Karıştırılan Noktalar ​

  • "Kök CA ile doğrudan sunucu sertifikası üretirim." Sertifika formundaki Issuing CA listesinde yalnızca Server Certificates kullanımlı issuing CA'lar, Certificate Profile listesinde yalnızca TLS Server kullanımlı profiller çıkar; sertifikalar kökün altındaki issuing CA ile üretilir.
  • "Profili silinen sertifikalar yenilenmeye devam eder." Profil silinirse otomatik yenileme yapılmaz; User Logs'a yenilenemedi kaydı düşer.
  • "İç CA sertifikalarında OCSP stapling çalışır." Sertifikalarda OCSP adresi bulunmadığı için staple alınamaz (OCSP Stapling destekleniyor mu?).
  • "İstemciler iç CA'yı kendiliğinden tanır." Kök CA sertifikası istemcilerin güven deposuna ayrıca dağıtılır.

Dokümantasyonda nasıl yapılır

İlgili sorular