sys-cmd sslscan

sys-cmd sslscan, WEB-CLI'de seçili route table'dan bir TLS sunucusuna art arda bağlanarak hangi protokol sürümlerini ve şifre takımlarını kabul ettiğini, tercih ettiği şifre takımını ve sunduğu sertifikanın ayrıntılarını listeler. Bir vService'in ya da backend'in TLS yapılandırmasını dışarıdan doğrulamak için kullanılır.

Komut Özeti

TR7 WEB-CLI · sys-cmd sslscan

# sslscan yazıp Tab: serbest parametre

admin@TR7LBWAF01> sys-cmd sslscan

<sslscan-parameter-1>

 

admin@TR7LBWAF01> sys-cmd sslscan <parametreler> <hedef>:<port>

admin@TR7LBWAF01>  

sslscan sözcüğünden sonra yazılan her şey araca olduğu gibi aktarılır. Zorunlu alan yoktur; hedef adres:port biçiminde yazılır, port yazılmazsa 443 kabul edilir.

Nasıl Çalışır

Konu	Davranış
Bağlam	Bağlantılar seçili v-device ve route table içinden kurulur.
Yük	Her sürüm ve şifre takımı için ayrı bir el sıkışma dener; hedefte kısa sürede çok sayıda bağlantı oluşur.
Süre	Tarama bitince kendiliğinden kapanır.
Pipe	Çıktı | ile süzülebilir ya da to-file ile dosyaya yazılabilir.
Kayıt	Her çalıştırma kullanıcı loglarına yazılır.

Sık Kullanılan Parametreler

Parametre	Ne yapar	Arkasına ne yazılır
--sni-name=	El sıkışmada gönderilecek sunucu adını belirler; aynı adreste birden çok sertifika sunan vService'lerde doğru sertifikayı görmek için	Alan adı, = ile bitişik
--show-certificate	Sunulan sertifikanın bütün ayrıntılarını yazar	—
--no-ciphersuites	Şifre takımı listesini atlar	—
--tls12 · --tls13	Yalnız belirtilen TLS sürümünü dener	—
--no-colour	Renkli çıktıyı kapatır; dosyaya yazarken okunurluğu artırır	—

Tablo sık kullanılanları özetler; tam liste ve parametre adları aracın cihazdaki sürümüne bağlıdır.

Örnekler

TR7 WEB-CLI · A) VIP'in TLS sürümleri ve şifre takımları

admin@TR7LBWAF01> sys-cmd sslscan 10.0.7.20:443

admin@TR7LBWAF01>  

TR7 WEB-CLI · B) Belirli bir alan adının sertifikası

admin@TR7LBWAF01> sys-cmd sslscan --sni-name=app.example.com --show-certificate --no-ciphersuites 10.0.7.20:443

admin@TR7LBWAF01>  

TR7 WEB-CLI · C) Backend'in TLS 1.3 desteği

admin@TR7LBWAF01> sys-cmd sslscan --tls13 10.20.0.30:8443

admin@TR7LBWAF01>  

TR7 WEB-CLI · D) Sonucu dosyaya yaz

admin@TR7LBWAF01> sys-cmd sslscan --no-colour 10.0.7.20:443 | to-file vip-tls.txt

admin@TR7LBWAF01>  

Bilinmesi Gerekenler

• Yanlış sertifika görünüyor. Aynı adreste birden çok alan adı sunuluyorsa sunucu adı gönderilmeden yapılan tarama varsayılan sertifikayı gösterir; --sni-name= ile doğru ad gönderilir.
• Üretim yükü. Tarama çok sayıda kısa bağlantı açtığından yoğun saatlerde canlı bir VIP'e art arda çalıştırılmaz.
• vService tarafındaki TLS ayarları lb ssl-security ve sertifika atamalarından gelir; tarama sonucu bu ayarlarla karşılaştırılır.
• Bağlantının akışını adım adım görmek için ssldump kullanılır.