Smarter by Design.Simpler for Business
lb ssl-security
lb ssl-security komutu, bir vService'in TLS bağlantılarında hangi sürümlerin, şifre algoritmalarının ve doğrulama kurallarının geçerli olacağını belirleyen SSL güvenlik profillerini oluşturur. Panel karşılığı TLS Security Profiles ekranıdır.
Komut Özeti
# komuttan sonra Tab
admin@TR7LBWAF01> lb ssl-security
add delete list show update
admin@TR7LBWAF01> lb ssl-security list # hepsini listele
admin@TR7LBWAF01> lb ssl-security show <kimlik> # birini göster
admin@TR7LBWAF01> lb ssl-security add name <ad> … # yeni profil
admin@TR7LBWAF01> lb ssl-security update id <kimlik> … # değiştir
admin@TR7LBWAF01> lb ssl-security delete <kimlik> # sil
admin@TR7LBWAF01>
Zorunlu Alanlar
| Sıra | Alan | Durum | Değer |
|---|---|---|---|
| 1 | name | Zorunlu | Profilin adı; koleksiyonda benzersiz olmalı |
Kalan alanların hepsi isteğe bağlıdır; verilmeyenler varsayılan değerleriyle uygulanır.
Sürüm ve Şifre Alanları
| Alan | Ne yapar | Arkasına ne yazılır |
|---|---|---|
--minSslVersion | Kabul edilecek en düşük TLS sürümünü belirler | Sürüm değeri (varsayılan TLSv1.1); Tab listeler |
--maxSslVersion | Kabul edilecek en yüksek TLS sürümünü belirler | Sürüm değeri (varsayılan TLSv1.3) |
--cipherAlgorithm | Şifre algoritması kümesini seçer | hardware (varsayılan) · onlySecure · tls13 · old · general · strictSecure · strictOld · manual |
--manualCipherAlgorithmList.N | Algoritmaları tek tek seçer | Algoritma adı; her biri kendi indeksiyle. Yalnız --cipherAlgorithm manual seçildiğinde açılır |
--curves.N | Anahtar değişiminde kullanılacak eğrileri seçer | X25519 · X448 (ikisi de yalnız TLS 1.3'te geçerlidir) |
--pqc | Kuantum sonrası anahtar değişimini açar | true · false (varsayılan false) |
Bağlantı Davranışı
| Alan | Ne yapar | Arkasına ne yazılır |
|---|---|---|
--noTlsTickets | Tanımsız TLS isteklerinin yeniden başlatılmasını sağlar; oturum biletleri kullanılmaz | true · false (varsayılan false) |
--useQat | SSL işlemlerinin donanım hızlandırıcısıyla yapılmasını açar | true · false (varsayılan false) |
--sniHostValidation | İstemcinin gönderdiği SNI ile Host başlığının uyuşmasını zorunlu kılar | true · false (varsayılan false) |
--ocspStapling | Sertifikanın iptal durumunun sunucu tarafından iliştirilmesini açar | true · false (varsayılan false) |
İstemci Sertifikası Doğrulaması
Bu grup, ziyaretçinin sertifikasının karşılama tarafında doğrulanmasını yönetir. Alanların hepsi --clientCertAuth true yazıldığında açılır.
| Alan | Durum | Ne yapar | Arkasına ne yazılır |
|---|---|---|---|
--clientCertAuth | İsteğe bağlı | İstemci sertifikası doğrulamasını açar | true · false (varsayılan false) |
--clientCertVerifyType | Koşullu | Sertifikanın zorunlu mu isteğe bağlı mı olduğunu belirler | required sertifika olmadan bağlantı kabul edilmez (varsayılan) · optional sertifika varsa doğrulanır |
--caFiles.N | Koşullu | Doğrulamada güvenilecek CA'ları seçer | lb ca kayıtları; her biri kendi indeksiyle |
--caErrorStrategy | Koşullu | Doğrulama hatalarında ne yapılacağını seçer | denyAll her hatada reddeder (varsayılan) · ignoreAll hataları yok sayar · manualIgnoreList yalnız seçilen hataları yok sayar |
--caErrorsToIgnore.N | Koşullu | Yok sayılacak doğrulama hatalarını seçer | Hata kodu; yalnız --caErrorStrategy manualIgnoreList seçildiğinde açılır |
Yok sayılabilecek hata kodlarından bazıları: 2 üst sertifika alınamadı · 3 sertifika iptal listesi alınamadı · 7 sertifika imzası hatalı · 19 zincirde kendinden imzalı sertifika · 24 geçersiz CA sertifikası · 31 yetkili ve düzenleyen seri numarası uyuşmuyor. Listenin tamamı Tab ile görülür.
Hataları yok saymak doğrulamayı zayıflatır
--caErrorStrategy ignoreAll seçildiğinde sertifika zinciri hatalı olsa bile bağlantı kabul edilir. Yalnız hangi hatanın neden yok sayıldığı biliniyorsa kullanılır; belirli bir hata için manualIgnoreList daha güvenlidir.
HSTS Alanları
| Alan | Durum | Ne yapar | Arkasına ne yazılır |
|---|---|---|---|
--hsts | İsteğe bağlı | Tarayıcıya siteye yalnız HTTPS ile bağlanmasını söyleyen başlığın gönderilmesini açar | true · false (varsayılan false) |
--hstsMaxAge.val · --hstsMaxAge.unit | İsteğe bağlı | Bu kuralın tarayıcıda ne kadar geçerli kalacağını belirler | Sayı ve birim (varsayılan 180 gün) |
--hstsIncludeSubdomains | Koşullu | Kuralın alt alan adlarını da kapsamasını sağlar | true · false (varsayılan false); yalnız --hsts true iken açılır |
--hstsPreload | Koşullu | Başlığa tarayıcı ön yükleme listesi işaretini ekler | true · false (varsayılan false); yalnız --hsts true iken açılır |
Örnekler
admin@TR7LBWAF01> lb ssl-security add name siki-profil \
--minSslVersion TLSv1.2 --maxSslVersion TLSv1.3 --cipherAlgorithm onlySecure \
--hsts true --hstsMaxAge.val 365 --hstsMaxAge.unit d --hstsIncludeSubdomains true
admin@TR7LBWAF01>
admin@TR7LBWAF01> lb ssl-security add name mtls-profil \
--clientCertAuth true --clientCertVerifyType required \
--caFiles.0 <ca> --caErrorStrategy manualIgnoreList --caErrorsToIgnore.0 19
admin@TR7LBWAF01>
admin@TR7LBWAF01> lb ssl-security add name elle-sifre --cipherAlgorithm manual \
--manualCipherAlgorithmList.0 <algoritma> --manualCipherAlgorithmList.1 <algoritma> \
--curves.0 X25519 --pqc true
admin@TR7LBWAF01> lb service update id <vService> --sslSecurity <profil>
admin@TR7LBWAF01>
Güncelleme ve Silme
admin@TR7LBWAF01> lb ssl-security update id <kimlik> --minSslVersion TLSv1.3
# tek CA'yı çıkarma · liste alanlarını boşaltma
admin@TR7LBWAF01> lb ssl-security update id <kimlik> --caFiles.0.delete
admin@TR7LBWAF01> lb ssl-security update id <kimlik> --curves.delete
admin@TR7LBWAF01> lb ssl-security delete <kimlik>
admin@TR7LBWAF01>
Bilinmesi Gerekenler
- Profil tek başına çalışmaz. Ayarlar, profil bir vService'e
--sslSecurityalanıyla bağlandığında uygulanır. - Arka uç bağlantısında profilin bir bölümü geçerlidir. Aynı profil
lb backendkaydında--sslSecurityProfileile de seçilebilir; o bağlantıda yalnız en düşük ve en yüksek SSL sürümü, şifre listesi ve eğri ayarları uygulanır. - İstemci sertifikası doğrulaması karşılama tarafındadır. Bu grup, ziyaretçinin sertifikasını doğrular; TR7'nin arka uca kendini tanıtması ise arka uç kaydındaki
--sslClientCertalanıdır. - Eğriler yalnız TLS 1.3'te geçerlidir.
X25519veX448seçimleri daha eski sürümlerde etkili olmaz. - HSTS geri alması zordur. Tarayıcı, süre dolana kadar siteye yalnız HTTPS ile bağlanmayı sürdürür; süreyi uzatmadan önce sertifikanın kesintisiz yenilendiğinden emin olunmalıdır.
