SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

OCSP Stapling destekleniyor mu? ​

Kısa cevap

Evet. TLS Security Profile'daki OCSP Stapling açılıp profil vService'e atanır; TR7 sertifikanın OCSP yanıtını günde iki kez denetleyerek alır ve TLS el sıkışmasında istemciye iliştirir. Yanıt alınabilmesi için sertifikada bir OCSP adresi bulunmalı ve düzenleyen CA sertifikası sertifika kaydının kendi içeriğinde yer almalıdır; yanıt alınamazsa sertifika staple'sız sunulur. Kurum Servisi bağlantılarında ve TR7'nin iç CA'sıyla üretilen sertifikalarda uygulanmaz.

Nasıl Çalışır? ​

  1. Profilinde OCSP stapling açık olan vService'lerin sertifikaları için OCSP yanıtı her gün 07:00 ve 22:00'de ve cihaz açıldıktan birkaç dakika sonra alınır; profil kaydedildiği anda değil, bir sonraki taramada alınır.
  2. Yanıt doğrulanır; sertifika durumu good ise saklanır ve el sıkışmada istemciye gönderilir.
  3. Yanıtın geçerlilik süresinin yarısı geçince yenisi alınır; geçerliliğinin bitmesine 6 saatten az kalmış yanıt gönderilmez.
  4. Yanıt alınamazsa (OCSP adresi yok, düzenleyen CA kayıtta yok, yanıtlayıcıya erişilemiyor, durum good değil) sertifika staple'sız sunulmaya devam eder.

Gereksinimler ​

GereksinimNot
Sertifikada OCSP adresiSertifikanın AIA uzantısında OCSP URL'si bulunmalıdır; bazı CA'lar (ör. Let's Encrypt) bu adresi artık eklemez
Düzenleyen CA kayıttaAra sertifika, sertifika kaydının Certificate Content alanında (fullchain) ya da Intermediate Cert. Content alanında Without Profile ile yapıştırılmış olmalıdır; Use Profiles ile CA kaydından bağlanan zincir OCSP yanıtı alınırken kullanılmaz
OCSP yanıtlayıcısına erişimCihazın internete (ya da iç yanıtlayıcıya) HTTP çıkışı olmalıdır

TR7'de Açma ​

1
Adım 1 Profil formunu aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → TLS Security Profiles ekranında vService'in kullandığı profil seçilip Edit tıklanır; yeni profil için Add tıklanır ve Security Profile Name girilir.

2
Adım 2 OCSP Stapling'i aç

Frontend-only Settings bölümünde OCSP Stapling açılır (varsayılan kapalı).

3
Adım 3 Profili kaydet

Formun altındaki Edit tıklanır (yeni profilde Add).

4
Adım 4 vService'in düzenleme formunu aç

Profil vService'e henüz atanmadıysa Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

5
Adım 5 Profili seç

Details panelinde Frontend Settings altındaki SSL Security kutusu işaretlenir ve 3. adımdaki profil seçilir (vService'te profil seçimi).

6
Adım 6 Kaydet

Save tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir. Her cihaz OCSP yanıtını kendisi alır.

WEB-CLI'da aynı ayar profil güncellenerek yapılır; <profil> yerine profil Tab ile seçilir (Bağlantı davranışı):

text
lb ssl-security update id <profil> --ocspStapling true

Arayüzde staple durumu gösterilmez; denetim istemci tarafından yapılır.

Doğrulama ​

Bir sonraki taramadan sonra istemciden:

text
openssl s_client -connect 203.0.113.10:443 -servername www.example.com -status < /dev/null

Çıktıda OCSP Response Status: successful ve Cert Status: good görülür; staple yoksa OCSP response: no response sent yazar.

Sık Karıştırılan Noktalar ​

  • "Açtığım an staple gönderilir." Yanıt bir sonraki taramada (07:00 ya da 22:00) alınır.
  • "OCSP stapling iptal edilmiş sertifikayı engeller." Sertifika durumu good değilse yalnızca staple gönderilmez; sertifika sunulmaya devam eder.
  • "İstemci sertifikaları da OCSP ile denetlenir." mTLS'te istemci sertifikaları için OCSP ya da CRL denetimi yapılmaz (İstemci sertifikasıyla kimlik doğrulama (mTLS) yapabilir miyim?).

Dokümantasyonda nasıl yapılır

İlgili sorular