SonicWall’da CSR Nasıl Oluşturulur

Bu kılavuz, SonicOS çalıştıran bir SonicWall güvenlik duvarında CSR (Sertifika İmzalama Talebi) nasıl oluşturulur göstermektedir. Talebi, web yönetim arayüzünde Device > Settings > Certificates bölümünden oluşturur, konu (subject) bilgilerini doldurur, 2048 bit (veya daha büyük) bir RSA anahtarı ile SHA-256 imza algoritmasını seçer, ardından talebi dışa aktarıp Sertifika Yetkilinize gönderirsiniz.

Özel anahtar aynı anda oluşturulur ve güvenlik duvarında Bekleyen Talep (Pending Request) olarak kalır: CSR’ı dışa aktardığınızda bu anahtar dahil edilmez. Aşağıdaki adımlar SonicOS 7.x ile uyumludur; SonicOS 6.5 ve eski SMA / SSL-VPN cihazları için menü yolları farklı olduğunda belirtilmiştir.

SonicWall’da CSR Oluşturma (SonicOS 7.x)

CSR’ınızı zaten oluşturduysanız ve imzalanmış sertifika dosyalarını aldıysanız, doğrudan SonicWall’a SSL sertifikası nasıl kurulur bölümüne geçebilirsiniz.

Adım 1: Certificates Sayfasını Açın

• Yönetici olarak SonicWall web yönetim arayüzünde oturum açın.
• Device > Settings > Certificates bölümüne gidin. Bu sayfa, cihazda o anda bulunan tüm sertifikaları listeler.
• Sertifika iletişim kutusunu açmak için New Signing Request düğmesine tıklayın.

Manage görünümünde çalışan SonicOS 6.5’te yol Manage > Appliance > Certificates şeklindedir. Eski SMA 100 serisi ve daha önceki SSL-VPN cihazlarında yol System > Certificates şeklindedir ve düğme Generate CSR olarak etiketlenmiştir. Aşağıdaki alan adları sürümler arasında temelde aynıdır.

Adım 2: Sertifika Takma Adını ve Konu Bilgilerini Girin

Certificate Alias alanına, güvenlik duvarında daha sonra tanıyabileceğiniz bir etiket yazın; örneğin alan adınız ile birlikte yılı. Takma ad yalnızca dahili bir isimdir; sertifikanın kendisinde görünmez.

Açılır menüleri ve metin alanlarını kullanarak Subject Distinguished Name (Konu Ayırt Edici Adı) oluşturun. Her bileşeni doldurdukça, SonicOS tam DN’yi Subject Distinguished Name önizleme alanında bir arada gösterir.

• Country: kuruluşunuzun kayıtlı olduğu ülkenin iki harfli ISO ülke kodu, örneğin US.
• State: eyalet veya bölgenin tam adı, örneğin Hawaii. Business Validation veya Extended Validation sertifikası için, şirketinizin yasal olarak kayıtlı olduğu eyaleti kullanın.
• Locality, City, or County: şehrin tam adı, örneğin Honolulu.
• Company or Organization: şirketinizin tam yasal adı, örneğin Your Company LLC. Bunu yalnızca Domain Validation sertifikası sipariş ediyorsanız boş bırakın.
• Department: isteğe bağlıdır. IT veya Web gibi bir değer kullanabilir ya da boş bırakabilirsiniz. Genel CA’lar bu alanı doğrulamaz.
• Common Name: güvence altına almak istediğiniz tam nitelikli alan adı (FQDN), örneğin vpn.example.com. Wildcard sertifika için, alan adının önüne bir yıldız işareti koyun, örneğin *.example.com. Common Name, güvenlik duvarına erişmek için kullandığınız ana bilgisayar adıyla (yönetici sayfası, SSL VPN portalı veya her ikisi) eşleşmelidir.
• E-Mail Address: kuruluşunuza ait geçerli bir iletişim adresi.

Adım 3: Bir Subject Alternative Name Ekleyin (İsteğe Bağlı)

Subject Alternative Name altında, açılır menüden bir tür seçin (Domain Name, Email Address veya IPv4 Address) ve değeri girin. Modern tarayıcılar sertifikaları Common Name’e göre değil, SAN listesine göre doğrular; bu nedenle ilk SAN girişi Common Name ile eşleşmelidir. SonicOS, talebin kendisinde yalnızca bir SAN girişine izin verir; sertifikanızın birden fazla ana bilgisayar adını kapsaması gerekiyorsa, ek adları CA ile sipariş sürecinde belirtin. Çoğu genel CA, CSR ile birlikte sipariş formunda sağlanan ek SAN girişlerini kabul eder.

Adım 4: İmza Algoritmasını ve Anahtarı Seçin

• Signature Algorithm: varsayılan SHA1 değerini SHA256 (veya SHA384 / SHA512) olarak değiştirin. Genel CA’lar 2015’ten beri SHA-1 ile imzalanmış sertifikaları reddetmektedir; bu nedenle SHA-1 ile imzalanmış bir CSR düzenlenmez.
• Subject Key Type: varsayılan RSA seçeneğini bırakın. ECDSA‘yı yalnızca CA’nız ve hizmet verdiğiniz tüm istemciler ECDSA sertifikalarını destekliyorsa seçin.
• Subject Key Size/Curve: RSA için en az 2048 bit seçin. Fabrika varsayılanı 1024’tür ve genel CA’lar bunu kabul etmez; 3072 ve 4096 de kabul edilir. ECDSA için prime256v1 güvenli bir seçimdir.

Adım 5: Talebi Oluşturun

Girişleri kontrol edin, ardından Generate düğmesine tıklayın. SonicOS, CSR’ı ve eşleşen özel anahtarı oluşturur ve Certificates tablosuna yeni bir satır ekler. Yeni giriş Pending request (Bekleyen Talep) türünde olur ve imzalanmış sertifikayı içe aktarana kadar bu durumda kalır.

CSR’ı Dışa Aktarma

• Certificates tablosundaki yeni Pending request girişini bulun.
• Yanındaki Export simgesine tıklayın. SonicOS, yalnızca talebi içeren tek bir .csr dosyası indirir. Özel anahtar güvenlik duvarında kalır.

Eski SMA 100 / SSL-VPN cihazlarında davranış farklıdır: formu gönderdiğinizde server.csr ve server.key dosyalarını içeren bir .zip arşivi indirilir. Her iki dosyayı birlikte kaydedin; verilen sertifikayı daha sonra bir PKCS#12 paketi olarak içe aktarırken server.key dosyasına ihtiyacınız olacaktır. SonicOS 7.x güvenlik duvarlarında, anahtar hiçbir zaman cihazdan ayrılmadığı için bir anahtar dosyası almazsınız.

Dışa aktarılan .csr dosyasını Notepad gibi herhangi bir düz metin düzenleyiciyle açın. İçerik -----BEGIN CERTIFICATE REQUEST----- ile başlar ve -----END CERTIFICATE REQUEST----- ile sonlanır. SSL kayıt işlemi sırasında, bu iki başlık ve alt bilgi satırı dahil olmak üzere tüm bloğu, SSL sağlayıcınızın sipariş sayfasındaki CSR alanına kopyalayın.

Göndermeden Önce CSR’ı Kontrol Edin

Siparişi vermeden önce, talebin doğru alan adı ve kuruluş bilgilerini içerdiğini doğrulayın. Herhangi bir makinede OpenSSL varsa, dışa aktarılan dosyayı şu komutla çözümleyin:

openssl req -noout -text -in request.csr

Common Name, SAN girişleri ve kuruluş alanlarının doğru olduğundan, imza algoritmasının sha256 veya daha güçlü olduğundan ve anahtar boyutunun en az 2048 bit olduğundan emin olun. Herhangi bir yanlışlık varsa, dosyayı düzenlemek yerine güvenlik duvarında yeni bir CSR oluşturun: metinde yapılan herhangi bir değişiklik imzayı geçersiz kılar. OpenSSL yoksa, dışa aktarılan talebi çevrimiçi CSR çözücümüze yapıştırarak aynı alanları doğrulayabilirsiniz.

Talebi SonicOS içinde değil bir tarayıcıda hazırlamayı tercih ederseniz, CSR Oluşturucumuz ile de bir CSR oluşturabilirsiniz. SonicOS 7.x güvenlik duvarında, CSR’ı cihaz dışında oluşturmak, daha sonra verilen sertifikayı cihaz üzerindeki Pending request’i tamamlamak yerine, sertifika ve eşleşen anahtarı birlikte içeren bir PKCS#12 paketi olarak içe aktaracağınız anlamına gelir.

CA Sertifikanızı Verdikten Sonra

CA, CSR’ı doğruladıktan ve SSL sertifikanızı verdikten sonra, Device > Settings > Certificates bölümüne geri dönün, aynı Pending request girişini bulun ve imzalanmış dosyayı eklemek için yanındaki Upload simgesine tıklayın. Yeni bir giriş oluşturmayın: SonicOS, verilen sertifikayı eşleşen özel anahtarla eşleştirmeyi ancak onu aynı bekleyen satıra yüklediğinizde yapar. Kabul edilen biçimler PEM (.pem, .cer) ve PKCS#7 (.p7b)’dir. Sertifikayı yönetici sayfasına ve SSL VPN portalına atama dahil tüm prosedür, SonicWall’a SSL sertifikası nasıl kurulur kılavuzumuzda yer almaktadır.

Sıkça Sorulan Sorular