Adlandırma, DNS ve TLS
Cihaza istemcilerinin kullandığı adları verin, güvendikleri bir sertifika sunun ve kök CA'yı kimsenin ihtiyacı olmadan önce dağıtın.
- Sürüm: 0.4
- Rol: admin_user
- Tür: görev
Cihaza IP ile erişmek ilk bakış için yeterlidir. Geri kalan her şey — tarayıcı eklentisi, Claude Code, bir API istemcisi, bir web ağ geçidi — düz HTTP'yi reddeder ve güvenmediği bir sertifikayı reddeder. Cihaza adlar verir, sertifikasını hangi otoritenin imzalayacağına karar verir ve istemcilerinizin o otoriteye güvenmesini sağlarsınız.
Neye ihtiyacım var?
- Lisans
- Any
- Rol
admin_user
Ön koşullar
- Cihaz ilk açılış kurulum sihirbazını tamamladı.
- İstemcilerinizin çözümlediği DNS bölgesinde A kayıtları oluşturabiliyorsunuz.
- Cihazın hangi adlarla yanıt vereceğine karar verdiniz — genellikle panel, ağ geçidi API'si ve LLM vekili için birer ad ya da üçünü de kapsayan tek bir joker ad.
- Grup İlkesi, MDM ya da elle yöntemiyle istemci makinelerinize bir kök sertifika dağıtabiliyorsunuz.
- Dışarıdan imzalı bir sertifika için: bu adlar adına bir sertifika imzalama isteğini imzalayacak bir CA.
Cihaz, hepsi aynı kutuyu gösteren üç adla yanıt verir: ekibinizin açtığı panel, eklentinin ve
güvenlik duvarı engelleme listesinin çağırdığı API ve Claude Code ile API araçlarının yöneldiği,
OpenAI ve Anthropic uyumlu vekil. Değerleri cihazın kendi ortamında APP_DOMAIN, API_DOMAIN ve
PROXY_DOMAIN olarak durur.
Hangi biçim sizinki
| Durumunuz | Yol | Size maliyeti |
|---|---|---|
| Kurum içi PKI yok, özel bir DNS bölgesi var | Cihaz CA'sı — varsayılan | Filoya bir kez tek bir kök sertifika dağıtmak |
| Makinelerinizin zaten güvendiği bir kurum içi PKI | İmzalama isteğinden kendi CA'nız | Bir imzalama gidiş-dönüşü ve sizin üstlendiğiniz yenilemeler |
| PKI'ınız anahtarı sertifikayla birlikte üretiyor | Sertifika yükleme | Aynısı, artı özel anahtarı cihazın dışında taşımak |
| Genel olarak çözümlenebilen bir ad ve genel bir sertifika | Dışarıdan edinin, sonra yükleyin | Cihazın genel sertifika kipi yoktur ve kendisi genel bir otoriteden hiçbir şey istemez |
| Hiç DNS yok — yalnızca IP ile kurulum | Adresi adlar alanına yazarak cihaz CA'sı | Her istemcinin cihaz CA'sına güvenmesi gerekir. Özel bir adres için hiçbir genel otorite imza atmaz |
| Birkaç sunucuyu kapsayan tek bir sertifika | Kendi PKI'ınızdan yüklenmiş joker karakterli bir sertifika | Cihazın adlar alanı yalnızca ana makine adlarını ve IPv4 adreslerini alır; dolayısıyla joker karakterli sertifika ne düzenler ne de ister |
| Cihazın kendi HTTPS'ini istemcilerinize yeniden imzalayan bir vekil | Cihazda hiçbir şey | O istemciler cihazın değil vekilin sertifikasına güvenir; dolayısıyla cihazın kendi adları onlar için değil vekil için önemlidir |
| Cihazın giden HTTPS'ini yeniden imzalayan bir vekil | CA'sına giden bağlantılar için güvenin | Bu olmadan model sağlayıcılarına ve güncelleme kanalına erişilemez |
Cihaza adlarını verin
DNS kayıtlarını oluşturun
İstemci makinelerinizin çözümlediği bölgede, üç ad için cihazın IP adresine A kayıtları ekleyin.
Bir istemci makineden nslookup app.<your-domain> komutu cihazın adresini döndürür. Bunu bir
sertifika düzenlemeden önce yapın: çözümlenmeyen bir ad hiçbir şey tarafından doğrulanamaz.
Cihaza hangi adlarla yanıt vereceğini söyleyin
Ayarlar → Sertifikalar seçin, adları Names, comma-separated (adlar, virgülle ayrılmış) alanına girin ve Save names and reissue (adları kaydet ve yeniden düzenle) seçin.
Cihaz, kendi ana makine adı ve IP adreslerine ek olarak bu adları konu alternatif adına koyarak sertifikasını yeniden düzenler. Değişiklik sürerken sayfa Applying on the host (ana makinede uygulanıyor) gösterir ve bittiğinde yenilenir; o ana kadar ikinci bir değişiklik sıraya alınamaz.
/assets/screenshots/settings-certificates@0.4.pngSertifikayı kimin imzalayacağını seçin
Üç yol vardır ve sayfa bu cihazın hangisinde olduğunu Mode (kip) altında belirtir.
Yeni kurulumlar için varsayılan yol. Cihaz, on yıl geçerli, kutuya özel bir kök CA tutar ve kendi sertifikasını ondan imzalar. Kökü bir kez dağıtırsınız; cihazı yeniden adlandırmak ya da sertifikasını yenilemek bu işi hiçbir zaman yinelemez, çünkü yalnızca sertifika değişir.
Cihaz zaten kullanmıyorsa cihaz CA'sına geçin
Use the appliance CA for HTTPS (HTTPS için cihaz CA'sını kullan) seçin.
Cihaz, geçerli sertifikayı kendi CA'sından gelen bir sertifikayla değiştirir. O CA'ya henüz güvenmeyen tarayıcılar, sonraki bölümü tamamlayana kadar bir kez daha uyarır.
Warning
Eski bir ISO ile kurulmuş bir cihaz, hâlâ özgün, çıplak kendinden imzalı sertifikasında olabilir; bu sertifika için her tarayıcı her cihazda uyarı verir. Sayfa bunu açıkça söyler. Bunu ortadan kaldıran şey, cihaz CA'sına geçmek ya da kendi sertifikanızı kurmaktır.
İstemcilerin cihaza güvenmesini sağlayın
Cihazın kök sertifikasını indirin
Ayarlar → Sertifikalar sayfasında gösterilen CA fingerprint (SHA-256) (CA parmak izi)
değerini doğrulayın, ardından cid222-appliance-root.crt dosyasını indirin.
İndirme herkese açıktır; bu nedenle panele henüz güvenmeyen bir makine de dosyayı alabilir:
Dağıtmadan önce indirdiğiniz dosyanın parmak izini sayfadaki değerle karşılaştırın. Makinelerinizin zaten güvendiği bir CA'dan sertifika kurduysanız bu bölümü tümüyle atlayın.
Sertifikayı filonuza dağıtın
Kök sertifikayı her platformun makine genelindeki güven deposuna kurun.
Grup İlkesi ile dağıtın: Computer Configuration → Policies → Windows Settings → Security Settings → Public Key Policies → Trusted Root Certification Authorities, sonra dosyayı içe aktarın ve ilkeyi iş istasyonu OU'suna uygulayın.
Bir test makinesinde gpupdate /force ardından certmgr.msc, sertifikayı Trusted Root
Certification Authorities altında gösterir.
Güvenin gerçek bir istemcide oturduğunu doğrulayın
Bir istemci makineden paneli adıyla açın.
Sayfa sertifika uyarısı olmadan yüklenir. Buradaki bir uyarı, cihazın yanlış yapılandırıldığı değil, sertifikanın o belirli tarayıcının deposuna ulaşmadığı anlamına gelir — Linux'ta Chrome ve her platformda Firefox, diğerlerinin okumadığı depoları okur.
Cihazın TLS denetleyen bir vekilden çıkmasını sağlayın
Ağınız giden HTTPS'i kendi otoritesiyle yeniden imzalıyorsa, cihaz o otoriteye güvenene kadar LLM sağlayıcılarına ya da güncelleme kanalına erişemez.
Vekilin düzenleyen CA'sını yapıştırın
Ayarlar → Sertifikalar sayfasında Outbound trust (TLS-inspecting networks) (giden güven — TLS denetleyen ağlar) başlığı altına vekilin düzenleyen CA sertifikasını yapıştırın ve Trust this CA for outbound connections (giden bağlantılar için bu CA'ya güven) seçin.
Cihaz değişikliği ana makine için sıraya alır; ana makine de sertifikayı ağ geçidinin ve güncelleyicinin kullandığı güven depolarına ekler. Bu yalnızca giden yöndür ve cihazın 443'te sunduğu şeyi değiştirmez.
Yenileme ve süre dolduğunda neyin bozulduğu
Ayarlar → Sertifikalar sayfası, o an sunulan sertifika için Valid until (geçerlilik sonu) değerini ve kalan gün sayısını bildirir ve 30 günden az kaldığında sayfada bir bildirim gösterir.
| Kip | Kim yeniler | İhtiyaç duyduğunuz hazırlık süresi |
|---|---|---|
| Cihaz CA'sı | Ana makine, bir sonraki uzlaştırmasında. Uç sertifikalar en çok 825 gün, onları imzalayan CA ise on yıl için düzenlenir | Yok. Kökü bir kez dağıtın ve unutun |
| İmzalama isteğinden kendi CA'nız | Siz. Cihaz, kendi düzenlemediği hiçbir şeyi yenilemez | İşi uzatan, CA'nızın yanıt süresidir — haftalar öncesinden başlayın |
| Yüklenmiş bir sertifika | Yine siz, aynı biçimde | Aynısı |
Süresi dolmuş bir sertifika yumuşak biçimde zayıflamaz. Fark ediş sıranıza göre olanlar:
- Tarayıcılar panoyu, kişinin tıklayarak geçebildiği bir süre dolumu uyarısıyla reddeder.
- Tarayıcı eklentisi, Claude Code ve her API istemcisi el sıkışmayı doğrudan reddeder. Tıklayıp geçilecek bir uyarı yoktur; dolayısıyla bunlar zayıflamaz, başarısız olur.
- Cihazın engelleme listesini çeken bir güvenlik duvarı listeyi yenilemeyi bırakır.
Yenilemek, kurmakla aynı yükleme işlemidir ve cihaz, yenisi doğrulanana kadar eski sertifikayı sunmayı sürdürür — dolayısıyla denenip reddedilen bir yenileme size hiçbir şeye mal olmaz.
Warning
Doğrulamayı geçemeyen bir sertifika reddedilir ve cihaz elindeki sertifikayı sunmayı sürdürür; bu yüzden hatalı bir yükleme size bir şeye mal olmaz. Planlamadığınız bir süre dolumu ise mal olur: dış imzalamayı tarihten çok önce başlatın, çünkü uzun süren cihaz değil, CA'nın yanıt süresidir.
Doğrulama
- Bir istemci makineden paneli adıyla HTTPS üzerinden açın. Sayfa sertifika uyarısı olmadan yüklenir.
- Ayarlar → Sertifikalar sayfasında Names (SAN) girdiğiniz her adı listeler ve Valid until değeri gelecekte olup hiçbir süre dolumu bildirimi taşımaz.
- Mode satırı, kurulum zamanındaki kendinden imzalı sertifikayı değil, seçtiğiniz otoriteyi yazar.
- Cihaza gerçek bir istemci yöneltin — tarayıcı eklentisi ya da vekil adına yöneltilmiş Claude Code — ve TLS el sıkışmasında başarısız olmak yerine bağlandığını doğrulayın.
Başarısız olursa
Sertifikanın süresi dolmuş ya da 443'ü sunan yok
Şunları görebilirsiniz: ERR_CERT_DATE_INVALID (sertifikanın tarihleri geçerli değil) · NET::ERR_CERT_AUTHORITY_INVALID (sertifikayı veren otoriteye güvenilmiyor) · connection refused on 443 (443'te bağlantı reddedildi) · panoya HTTPS üzerinden erişilemiyor
Başlamadan önce
Denetimler
- 1
Cihaz ana makinesinde 443 portunu gerçekten tutan bir şey olduğunu doğrulayın
tanılama · appliance.tls.servedBy
- 2
Cihazın sunabileceği bir sertifikası olduğunu doğrulayın
tanılama · appliance.tls.mode = "none"
- 3
Sunulan sertifikanın kaç günü kaldığını okuyun
tanılama · appliance.tls.daysLeft = 0
- 4
Sertifikanın yenileme penceresinde olup olmadığını denetleyin — 30 gün; bu, `appliance/tls/ensure-tls.sh` betiğinin cihazın kendi verdiği yaprak sertifikayı yenilediği ve müşteri sertifikası için uyardığı `CID_TLS_RENEW_DAYS` varsayılanıdır
tanılama · appliance.tls.daysLeft = 30
- 5
Cihaz kök CA'sının var olduğunu doğrulayın; istemcilerin, cihazın verdiği bir sertifikaya güvenmesi ancak böyle sağlanabilir
tanılama · appliance.tls.caPresent = true
Nedenler ve düzeltmeler
| Ne zaman ulaşılır | Neden | Açıklama, düzeltme ve doğrulama |
|---|---|---|
| denetim 1 başarısız olduğunda | nothing-on-443 (kritik) | 443'ü hiçbir süreç tutmuyor, dolayısıyla istemcinin bağlantısı daha TLS el sıkışması başlamadan reddedilir. Tarayıcı sertifika hatası değil bağlantı hatası bildirir; bu yüzden sorun ilk bakışta TLS sorununa benzemez. Bunun ardında genellikle başarısız bir sertifika dağıtımı vardır: ön yüz, kullanamadığı bir sertifikayla bozuk hizmet vermektense hiç başlamamayı seçer. Düzeltme: Ayarlar → Sistem Güncellemeleri sayfasından ana makine onarımını çalıştırın; onarım HTTPS ön yüzünü yeniden kurar ve cihazın sertifika isteğini yeniden uygular. Ardından panoyu yeniden yükleyin. Onarım bir sertifika sorunu bildiriyorsa önce onu çözün — sunması söylenen sertifika geçerli olana kadar ön yüz başlamayı reddetmeyi sürdürür. Doğrulama: tanılama · appliance.tls.servedBy Bu geçerli değilse: Ana makinenin HTTPS envanterini taşıyan destek paketini ekleyin. |
| denetim 2 başarısız olduğunda | no-certificate (kritik) | Cihazda hiç sertifika yapılandırılmamış — ne kendi CA'sının verdiği ne de yüklenmiş bir sertifika var. Bu giderilene kadar 443'te hiçbir şey sunulamaz. Düzeltme: Ayarlar → Sertifikalar altında cihaz CA'sından bir sertifika verin ya da orada üretilmiş bir CSR'ye karşı kurumunuzun CA'sının imzaladığı bir sertifikayı yükleyin. Bkz. Adlandırma, DNS ve TLS. Doğrulama: tanılama · appliance.tls.mode = "none" |
| denetim 3 başarısız olduğunda | certificate-expired (kritik) | Sunulan sertifikanın süresi dolmuş. Tarayıcılar bağlantıyı doğrudan reddeder; cihaza güvenecek biçimde yapılandırılmış istemciler — satır içi vekilin kendi çağıranları, tarayıcı eklentisi, uç nokta ajanı — zayıflayarak değil kapalı kalarak başarısız olur. Düzeltme: Hemen yerine yenisini verin. Cihaz CA'sının verdiği bir sertifika Ayarlar → Sertifikalar sayfasından yerinde yeniden verilir; dışarıdan imzalanmış bir sertifika için yeni bir CSR, imza ve yükleme gerekir. Sertifikayı suçlamadan önce ana makine saatini denetleyin: kayan bir saat geçerli bir sertifikayı süresi dolmuş gösterir. Doğrulama: tanılama · appliance.tls.daysLeft = 0 |
| denetim 4 başarısız olduğunda | certificate-expiring-soon (uyarı) | Sertifika hâlâ geçerli ama yenileme penceresinin içinde. Şimdi yenilemek, aksi hâlde uyarısız gelecek bir kesintiyi önler ve dış bir CA'nın bir CSR'yi imzalayıp döndürmesi için zaman bırakır. Düzeltme: Sertifikayı süresi dolmadan yenileyin; Adlandırma, DNS ve TLS sayfasını izleyin. Sertifika dışarıdan imzalanıyorsa hemen başlayın — uzun süren adım cihaz değil, imza sürecidir. Doğrulama: tanılama · appliance.tls.daysLeft = 30 |
| denetim 5 başarısız olduğunda | ca-missing (uyarı) | Cihaz kök CA'sı yok; dolayısıyla istemciler cihazın verdiği bir sertifikaya güvenecek duruma getirilemez ve herkese açık kök CA indirmesinin sunacağı bir şey kalmaz. Sertifikanın kendisi güncel olsa bile her istemci güvenilmeyen otorite hatası bildirir. Düzeltme: Ayarlar → Sertifikalar altında cihaz CA'sını yeniden oluşturun, kök sertifikayı cihazın herkese açık indirme yolundan yeniden dağıtın ve sunucu sertifikasını yeniden verin. Yeniden vermenin, istemcilerin daha önce kurduğu güveni geçersiz kıldığını unutmayın; dağıtımı yeniden vermeden önce planlayın. Doğrulama: tanılama · appliance.tls.caPresent = true |
- Cihaz yüklediğiniz sertifikayı reddediyor → Cihaz yüklediğiniz sertifikayı reddediyor
- Sertifikanın süresi dolmak üzere ya da dolmuş → Cihazın HTTPS sertifikasının süresi dolmak üzere ya da dolmuş
- 443'te hiçbir şey yanıt vermiyor → 443'te hiçbir şey dinlemiyor
- Bir istemci köke güveniyor ama yine de uyarıyor → o tarayıcı diğerlerinin okumadığı bir depo okuyor. Linux'ta Chrome ve her yerde Firefox kendi depolarını tutar; sertifikanın o tarayıcının gerçekten kullandığı depoya ulaştığını doğrulayın.
Sonraki adımlar
- Cihazı güncelleyin — bir güncelleme cihazın sunduğu sertifikayı hiçbir zaman değiştirmez.
- Sıkılaştırma denetim listesi — imajın değil, operatörün sorumluluğunda olan diğer ayarlar.
- Yedekleme ve geri yükleme — özel anahtarlar cihazın ana makinesinde durur, bu nedenle yedeğinizde bulunmaları gerekir.
Son güncelleme