Sertifika hatası alıyorum; nasıl teşhis ederim?

Kısa cevap

Teşhis, tarayıcının verdiği tam hata kodunu ya da curl -v çıktısını almakla başlar; kod hatayı süresi dolmuş, ad uyuşmazlığı, güvenilmeyen zincir ya da TLS sürümü veya şifre uyumsuzluğu sınıflarından birine yerleştirir. Ardından openssl s_client -servername ile TR7'nin gerçekte hangi sertifikayı sunduğu görülür ve vService formundaki Certificate alanıyla karşılaştırılır; SNI hiçbir sertifikayla eşleşmezse listedeki ilk sertifika sunulur. Sertifikanın süresi ve zinciri SSL/TLS Certificates ekranında kontrol edilir. Protokol hatası alınıyorsa vService'e sertifika seçilmemiş olabilir; hata yalnızca Kurum Servisine bağlanırken oluşuyorsa Kurum Servisinin SSL Service ayarları incelenir.

Sorun: Tarayıcı Sertifika Uyarısı Veriyor

Kullanıcılar tarayıcıda sertifika uyarısı görüyor ya da bağlantı TLS aşamasında kesiliyor. Hatanın süreden mi, ad uyuşmazlığından mı, eksik zincirden mi, yoksa TLS ayarlarından mı kaynaklandığı belirlenip doğru ayar düzeltilmelidir. TR7, vService'te seçili sertifikayı olduğu gibi sunar: süresi dolmuş ya da zinciri eksik bir sertifika da sunulur ve tarayıcı uyarısına yol açar.

Nereden İzlenir?

Ekran	Yol	Ne gösterir
SSL/TLS Certificates listesi	Certificates & PKI → SSL/TLS Certificates	Valid until sütunu ve Expiry Health filtresi (Valid, Expiring Soon, Expired, No Certificate)
Chain sekmesi	Sertifika önizlemesi	Zincirdeki eksik halka
ACME.sh sekmesi	Sertifika önizlemesi (ACME.SH türü)	Son yenileme kaydı
Used in sekmesi	Sertifika önizlemesi	Sertifikanın seçili olduğu vService'ler

Çözüm: Üç Yöntem

Yöntemler sırayla uygulanır: önce hata sınıflandırılır, sonra TR7'nin sunduğu sertifika vService'teki seçimle karşılaştırılır, en son sertifika kaydı incelenir.

Durumunuz	Uygun yöntem
Hatayı sınıflandırmak	Yöntem 1: Hata kodu
TR7'nin sunduğu sertifikayı görmek	Yöntem 2: openssl ve vService Certificate alanı
Sertifika kaydını incelemek	Yöntem 3: SSL/TLS Certificates

Yöntem 1: Hata Kodu Önerilen

• Nasıl çalışır Tarayıcının ya da curl'ün verdiği hata kodu hatanın sınıfını belirler.
• Nerede açılır İstemci
• Gereksinim Ek bir ayar gerekmez.
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Kodu al

Tarayıcının gelişmiş hata ekranındaki kod ya da istemciden curl -v https://www.example.com/ çıktısı alınır.

2

Adım 2 Sınıflandır

Kod ya da çıktı	Sınıf	Bakılacak sayfa
ERR_CERT_DATE_INVALID, certificate has expired	Süre	Süresi dolmuş veya dolmak üzere olan sertifikaları nasıl filtrelerim (Expiry Health)? · Sertifikayı yenilediğimde vService'lerde tek tek değiştirmem gerekir mi?
ERR_CERT_COMMON_NAME_INVALID, doesn't match target hostname	Ad ya da SNI	Bir vService'e birden fazla sertifika bağlayabilir miyim; doğru sertifika nasıl seçilir (SNI)? · Wildcard sertifika kullanabilir miyim?
ERR_CERT_AUTHORITY_INVALID, unable to get local issuer certificate	Zincir ya da CA	Sertifika zincirinin eksik olduğunu nasıl anlarım? · Kendi iç CA'mı TR7'ye nasıl tanıtırım?
ERR_SSL_VERSION_OR_CIPHER_MISMATCH, handshake failure	TLS sürümü ya da şifre	TLS 1.0/1.1'i nasıl kapatırım; TLS 1.3 destekleniyor mu? · Zayıf cipher'ları nasıl devre dışı bırakırım?
ERR_SSL_PROTOCOL_ERROR, wrong version number	vService'e sertifika seçilmemiş; şifreli frontend düz bağlantı bekliyor	Yüklediğim sertifikada hata olursa vService ne yapar?
421 Misdirected Request	SNI ve Host doğrulaması	SNI ile Host Header'ı uyuşmayan istekleri (domain fronting) reddedebilir miyim (SNI/Host Validation)?
Hata yalnızca bazı cihazlarda	Eksik ara sertifika	Sertifika zincirinin eksik olduğunu nasıl anlarım?

Olası nedenlerin tamamı: Tarayıcı "sertifika güvenilir değil" diyor; olası nedenler nelerdir?

Doğrulama

1Kodİstemci tarafı

Düzeltmeden sonra istemciden curl -v https://www.example.com/ yeniden çalıştırılır.

BeklenenSSL certificate verify ok.

Yöntem 2: openssl ve vService Certificate Alanı

• Nasıl çalışır openssl TR7'nin o alan adı için sunduğu sertifikayı gösterir; vService'in Certificate alanıyla karşılaştırılınca eksik sertifika ya da yanlış sıra ortaya çıkar. Certificate alanı vService'in bütün şifreli frontend'leri için geçerlidir.
• Nerede açılır İstemci · vService formu → Certificate
• Gereksinim openssl kurulu bir istemci.
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Sunulan sertifikayı gör

İstemciden alan adı SNI olarak gönderilerek sunulan sertifika okunur:

openssl s_client -connect 192.0.2.10:443 -servername www.example.com </dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

-servername olmadan yapılan test listedeki ilk sertifikayı getirir; vService Virtual Hosting kullanıyorsa bağlantı kapatılır.

2

Adım 2 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilir ve Edit butonuna tıklanır. Virtual Hosting kullanılıyorsa alan adını karşılayan vService açılır (Aynı IP:443 üzerinde farklı domainler için farklı sertifika sunabilir miyim (SNI)?).

3

Adım 3 Certificate alanını kontrol et

Certificate alanında alan adını kapsayan sertifikanın seçili olduğu ve SNI göndermeyen istemciler için sunulacak sertifikanın listede ilk sırada olduğu kontrol edilir. Alan, vService'te en az bir şifreli frontend tanımlıyken görünür.

4

Adım 4 Kaydet

Değişiklik yapıldıysa Save butonuna tıklanır.

Doğrulama

1Sertifikaİstemci tarafı

openssl komutu yeniden çalıştırılır.

BeklenensubjectAltName alan adını içerir; notAfter ileri bir tarih

Yöntem 3: SSL/TLS Certificates

• Nasıl çalışır Sertifika kaydı geçerlilik tarihlerini, zinciri ve ACME yenileme geçmişini gösterir.
• Nerede açılırCertificates & PKI → SSL/TLS Certificates
• Gereksinim Ek bir ayar gerekmez.
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Süresi dolanları ayır

Certificates & PKI → SSL/TLS Certificates ekranında Expiry Health filtresiyle süresi dolmuş (Expired) ve 30 günden az kalmış (Expiring Soon) sertifikalar ayrılır (Süresi dolmuş veya dolmak üzere olan sertifikaları nasıl filtrelerim (Expiry Health)?).

2

Adım 2 Kaydı incele

Sertifika seçilir; önizlemede Details sekmesinde tarihler, Chain sekmesinde zincirdeki eksik halka, ACME ile alınmışsa ACME.sh sekmesinde son yenileme kaydı okunur (Sertifika zincirinin eksik olduğunu nasıl anlarım?).

3

Adım 3 Kurum Servisi tarafını ayır

Hata tarayıcıda değil de 502 ya da 503 olarak görünüyorsa sorun TR7'nin Kurum Servisine kurduğu TLS bağlantısındadır: Kurum Servisinin SSL Service, Certificate Verification ve SNI ayarları ile önizlemedeki Health Checks sekmesinde Certificate error metni incelenir (Backend'e HTTPS ile bağlanırken backend sertifikasını doğrulayabilir miyim?).

Doğrulama

1KayıtTR7 tarafı

Valid until sütunu ile Details ve Chain sekmelerine bakılır.

BeklenenValid; zincir kök sertifikaya kadar tam

Sık Yapılan Hatalar

• -servername olmadan test etmek. SNI gönderilmeyince listedeki ilk sertifika gelir; Virtual Hosting'de ise bağlantı kapatılır.
• Güven hatası ile protokol hatasını karıştırmak. TLS sürümü uyumsuzluğu ve sertifika seçilmemiş şifreli frontend ayrı sınıflardır.
• Yeni sertifikayı ayrı kayıt olarak ekleyip vService'te değiştirmeyi unutmak. Mevcut kayıt güncellenirse vService'lerdeki seçim korunur (Sertifikayı yenilediğimde vService'lerde tek tek değiştirmem gerekir mi?).
• Virtual Hosting'de yanlış vService'e bakmak. Alan adını karşılayan vService'in Certificate alanı kontrol edilir.
• Sorun sürüyorsa bilgi toplamadan destek istemek. Destek kaydına eklenecekler: TR7 destek ekibine başvurmadan önce hangi bilgileri toplamalıyım?

Dokümantasyonda nasıl yapılır

• SSL/TLS Certificates · Chain sekmesi
• HTTP (L7) vService · Certificate

İlgili sorular

• Tarayıcı "sertifika güvenilir değil" diyor; olası nedenler nelerdir?
• Sertifika zincirinin eksik olduğunu nasıl anlarım?
• Bir vService'e birden fazla sertifika bağlayabilir miyim; doğru sertifika nasıl seçilir (SNI)?