Cloudflare’dan Origin’e Sertifika Doğrulaması
Cloudflare üzerinden erişimin çalışması, origin’in doğrudan gelen bağlantıları reddettiğini göstermez. Origin IP’si veya alternatif hostname üzerinden ulaşılabilen bir servis, tasarıma bağlı olarak edge kontrollerini aşabilir. Authenticated Origin Pulls (AOP), Cloudflare’ın origin’e yaptığı TLS bağlantısında istemci sertifikası sunmasını sağlar. Origin’in bu sertifikayı gerçekten doğrulaması ve zorunlu tutması gerekir.
AOP, mTLS’in Cloudflare’dan origin’e uygulanmış biçimidir; üzerine ayrıca “tam mTLS” eklenen ayrı bir protokol değildir. Cloudflare’ın origin sunucusunu doğrulaması için de doğru sunucu sertifikası ve Full (strict) modu gerekir. Paylaşılan AOP sertifikası Cloudflare ağını gösterir, belirli hesabınızı veya zone’unuzu tek başına tanımlamaz. Güven kapsamını bu ayrımla seçin.
Bu rehber, doğrudan Cloudflare proxy bağlantısı alan Nginx veya Apache origin’leri için sertifika rolleri, güven dosyaları, testler ve rotasyon planını açıklar. Ziyaretçi→Cloudflare mTLS ve Cloudflare Tunnel farklı bağlantı modelleridir. Ayarları uygulamadan önce hangi ucun TLS’i sonlandırdığını, hangi sertifikayı sunduğunu ve karşı tarafın neye güvendiğini belirleyin.
Authenticated Origin Pulls Ne Doğrular?
Ağ Erişimi ve İstemci Sertifikası
IP izin listesi bağlantının ağ kaynağını sınırlar; doğru yapılandırılmış istemci sertifikası doğrulaması kriptografik bir kimlik kontrolü ekler. İkisi birbirini tamamlar. Cloudflare IP aralığı tek başına hesabınıza özgü yetkiyi göstermez; global AOP sertifikası da bütün Cloudflare hesapları arasında paylaşılır. Kendi hesap veya servis kapsamınız gerekiyorsa özel AOP sertifikası ve buna uygun sınırlı origin güveni planlayın.
Yalnız Cloudflare’da AOP’yi açmak, origin’e sertifikasız bağlantıyı kapatmaz. Origin’in doğru CA’ya güvenmesi, istemci sertifikasını istemesi ve doğrulama başarısını zorunlu kılması gerekir. İsteğe bağlı doğrulama geçici gözlem için kullanılabilir; son erişim politikası değildir. Korunan tüm hostname, dinleyici, IPv4/IPv6 yolu ve varsayılan sanal sunucu davranışı aynı kabul sınırını korumalıdır.
Cloudflare AOP belgeleri global, zone ve hostname düzeylerini ayrı ayarlar olarak tanımlar. Her birinin sertifikası ve etkinleştirme durumu bağımsızdır; hostname ayarı zone’a, zone ayarı global’e göre önceliklidir. Bir düğmeyi kapatmak diğer düzeyleri kapatmaz. Beklediğiniz kimliğin hangi sertifikayla sunulduğunu fiilî bağlantı üzerinden kontrol edin.
AOP, mTLS ve Full (strict) İlişkisi
Sunucu ve İstemci Sertifikalarının Ayrı Rolleri
Origin sunucu sertifikasını Cloudflare’a sunar; Cloudflare Full (strict) ile geçerlilik, güven zinciri ve yapılandırılan hedef ad uyumunu kontrol eder. Cloudflare ayrıca AOP istemci sertifikasını origin’e sunar; origin bunu kendi istemci CA güvenine göre doğrular. AOP Full modunda da kullanılabilir, fakat Full tek başına aynı sunucu kimliği kontrolünü sağlamaz. Buradaki çift yönlü doğrulama hedefi için Full (strict) kullanın.
Sunucu ve istemci sertifikaları farklı dosyalar, anahtarlar ve güven ilişkileridir. Origin CA veya kamusal CA sunucu sertifikası, origin’in kimliğini gösterir; AOP istemci sertifikası Cloudflare tarafındaki istemciyi gösterir. İstemciden herhangi bir sertifika istemek yeterli değildir: zincir, geçerlilik ve kabul edilen kimlik kapsamı denetlenmelidir. mTLS uygulama içindeki kullanıcı yetkilendirmesinin yerine geçmez.
Cloudflare istemci sertifikaları belgeleri ziyaretçi veya API istemcisinin Cloudflare edge’e sertifika sunduğu uygulama, API Shield ve Access kullanımını da kapsar. Bu yön, burada anlatılan Cloudflare→origin AOP yönünden farklıdır. Workers’ın dış servise istemci sertifikası sunması da ayrı bir özelliktir. Bir uç için oluşturulmuş sertifika veya kuralı diğer uçta otomatik geçerli saymayın.
Nginx ve Apache’de Origin Doğrulaması
Doğru CA Dosyasıyla İstemciyi Zorunlu Doğrulama
Nginx’te ssl_client_certificate, istemci sertifikasını doğrulamak için güvenilen PEM CA dosyasını gösterir; ssl_verify_client on doğrulamayı zorunlu kılar. Global AOP için resmî rehberin AOP CA PEM’i kullanılır; bu dosya Cloudflare Origin CA sunucu sertifikası değildir. Özel AOP’de istemci yaprak sertifikası ve anahtarı Cloudflare’a, onu imzalayan uygun CA güveni origin’e kurulur. Yaprak sertifika ile CA dosyasını rastgele birbirinin yerine koymayın.
Nginx ssl_trusted_certificate de güvenilen CA’ları tanımlar; ssl_client_certificate’den farklarından biri CA listesinin istemciye gönderilmemesidir. Hiçbiri tek başına istemciyi zorunlu doğrulamaz. Apache mod_ssl’de SSLCACertificateFile güvenilen CA kümesini, SSLVerifyClient require zorunlu doğrulamayı belirler. İlgili sunucu/sanal sunucu kapsamını, ara sertifikaları ve doğrulama derinliğini gerçek zincire göre kontrol edin. Varsayılan derinliği her zincire yeterli saymayın.
Ziyaretçi→Cloudflare ve Cloudflare→origin bağlantılarının HTTP/TLS sürümleri farklı olabilir; bu durum proxy başlığını kimlik kanıtı yapmaz. CF-Connecting-IP veya X-Forwarded-For yalnız doğrulanmış, güvenilen proxy yolu ve doğru başlık işleme politikasıyla kullanılmalıdır. X-Forwarded-For’un gelen kısmı güvenilmeyen değerler içerebilir; Workers da bazı istemci-IP başlıklarını etkileyebilir. Ağ bağlantısının adresini, proxy kaynaklı metaveriyi ve son kullanıcının uygulama kimliğini ayrı tutun.
Sertifika ve Güven Deposu Yaşam Döngüsü
Dosyalar, Yetkiler ve Süre Takibi
Origin sunucu sertifikası, AOP istemci sertifikası ve origin’in istemci CA dosyasını ayrı envanterleyin. Dosya yolları, özel anahtar erişimi, kullanım kapsamı, süre bitimi ve sorumlu ekip kayıtlı olsun. Özel AOP sertifikalarının yükleme ve yenilemesini siz yönetirsiniz; global modelde de origin’de güvenilen dosyanın güncelliğini takip etmek gerekir. “Uzun ömürlü” olması izlemeyi gereksiz kılmaz.
ACME sunucu sertifikası otomasyonu, her CA’nın mTLS istemci sertifikası profili verdiği anlamına gelmez. İç servis istemci sertifikalarında uygun client-auth kullanımını ve yaşam döngüsünü destekleyen PKI seçin. ACME yedekli CA ve yenileme rehberi sunucu sertifikası bağlamındadır; AOP özel istemci sertifikası yüklemesini kendiliğinden kurmaz. Zamanlanmış iş tek başına güven örtüşmesi, başarılı dağıtım veya kesintisiz rotasyon sağlamaz.
CA değişiyorsa önce kontrollü biçimde yeni güveni origin’e ekleyin, eski geçerli yolun çalıştığını doğrulayın, sonra yeni istemci sertifikasını Cloudflare tarafında etkinleştirin. Yeni bağlantılarda başarı görüldükten sonra artık gerekmeyen eski güveni kaldırın. Aynı CA altında yaprak yenilemede gereken adımlar farklı olabilir. Sembolik bağlantı yalnız dosya yolu yönetimidir; ayar denetimi, desteklenen yeniden yükleme ve fiilî sertifika testinin yerine geçmez.
TLS ve HTTP Hatalarını Ayırma
Hangi Taraf Hangi Sertifikayı Reddediyor?
Sertifikasız istemci, güvenilmeyen issuer, süresi geçmiş sertifika ve sunucu adı uyuşmazlığı farklı nedenlerdir. Hangisinin görüldüğü TLS/HTTP sürümü ve sunucu davranışına bağlıdır; her AOP hatası HTTP 400 değildir. TLS uyarısının hangi uçtan çıktığını ve hangi sertifika yönünü ilgilendirdiğini belirleyin. “unknown ca” tek başına origin’in AOP istemcisini reddettiğini kanıtlamaz; istemci origin sunucu zincirini de reddediyor olabilir.
Cloudflare’ın 525 hatası edge-origin TLS el sıkışması başarısızlığını, normal proxy akışındaki 526 ise Full (strict) altında origin sunucu sertifikasının doğrulanamamasını işaret eder. Origin’in istemci sertifikasını reddetmesi başka bir HTTP yanıtı veya bağlantı hatasıyla da görünebilir. Zaman damgası, hostname, origin hata günlüğü ve Cloudflare olaylarını ilişkilendirin; yalnız tek durum koduna göre güven ayarlarını değiştirmeyin.
Beklenen sanal sunucunun seçildiğini, istemci doğrulamasının açık olduğunu ve doğru CA dosyasının gerçekten yüklendiğini kontrol edin. Nginx’te ssl_verify_client optional veya optional_no_ca son zorunlu güven politikası değildir. Apache’de require ile uygun CA güvenini ilgili handshake kapsamına yerleştirin. Kurulu sürüm, modül ve OpenSSL desteğini doğrulayın; yapılandırma testi geçmeden yeniden yükleme yapmayın.
Paylaşılan ve Özel AOP Sertifikalarını Seçme
Hesap ve Ortam Sınırlarını Belirleme
Global AOP, Cloudflare tarafından sağlanan ve bütün hesaplar arasında paylaşılan istemci kimliğini kullanır. Özel zone veya hostname düzeyinde kendi yaprak sertifikanızı ve anahtarınızı yüklersiniz. Bu seçim site sayısına göre değil gerekli kimlik sınırına göre yapılmalıdır. Origin aynı zamanda global CA’yı veya çok sayıda ilgisiz istemci üreten bir CA’yı kabul ediyorsa yalnız özel sertifika yüklemek kabul kapsamını daraltmaz.
Üretim, staging veya müşteri bazında ayrı yetki gerekiyorsa yalnız o kullanım için ayrılmış bir CA/istemci profili veya sunucunun desteklediği ek sertifika kimliği kısıtı planlayın. Kabul edilen tüm güven yollarını gözden geçirin. AOP bir sertifikanın tanımladığı istemciyi doğrular; ziyaretçi hesabı, HTTP hedefi ve uygulama yetkileri ayrıca denetlenir. İzinli bir istemcinin her kaynağa erişebilmesi gerektiği sonucu çıkarılamaz.
DNS Değişiklikleri ve Alternatif Origin’ler
Her Trafik Yolunda Aynı Politikayı Koruma
DNS veya failover değişiklikleri farklı bir origin’e trafik gönderebilir. Her aday origin aynı sunucu sertifikası, AOP kabul politikası, ağ erişimi ve hostname yönlendirmesi koşullarını sağlamalıdır. octoDNS ile çoklu sağlayıcı geçiş rehberi DNS iş akışını ele alır; TLS güvenini otomatik taşımaz. Önbellekler nedeniyle eski yol da kullanılabileceğinden geçiş boyunca iki yolun gerekli hazırlıklarını koruyun.
Sorun giderirken sırayla bağlantının hangi origin adresine gittiğini, TCP erişimini, sunulan sunucu sertifikasını, istemci doğrulamasını ve HTTP uygulama yanıtını inceleyin. Origin Rules veya yük dengeleyici ayarları Host/SNI değerini değiştirebilir; dışarıdaki hostname’in her zaman aynı biçimde origin’e ulaştığını varsaymayın. Gerçek hedef adı ve sertifika kapsamı uyuşmalıdır.
Cloudflare Tunnel ile AOP’nin Farkı
Tunnel ve Access mTLS’in Ayrı Kapsamları
Güncel Cloudflare belgesine göre AOP, Cloudflare Tunnel üzerinden bağlanan origin’lerle uyumlu değildir ve bu hostname’lerde AOP ayarları etkisizdir. Tunnel, connector kimlik bilgileriyle kurulan dışarı yönlü bağlantı modelini kullanır. Cloudflare Access mTLS belgeleri kullanıcı veya servislerin Access’e sertifika sunmasını açıklar; Tunnel origin’ine AOP eklediğinizi göstermez. cloudflared ile yerel servis arasındaki TLS doğrulaması ayrıca yapılandırılan bir bağlantıdır.
Doğrudan proxy origin’i ile Tunnel topolojisini ayrı tasarlayın. Tunnel kullanmak, origin’in başka bir genel IP veya porttan açık kalmadığını tek başına kanıtlamaz; artık gerekmeyen doğrudan yolu ağ politikasıyla kapatın. Access politikaları da yalnız yapılandırıldıkları uygulama kapsamına uygulanır. “Tunnel, AOP ve mTLS üç katman” gibi otomatik bir birleşim yerine her bağlantının kimliğini ve kabul koşullarını doğrulayın.
Performans ve Önbellek Sınırları
El Sıkışma Maliyetini Ölçme
İstemci sertifikası kontrolü el sıkışmaya işlem ekler; etkisi bağlantı yeniden kullanımı, trafik tipi, algoritmalar ve origin yüküne bağlıdır. Ölçüm olmadan görünür gecikme yaratmayacağını söylemek doğru olmaz. Gerçek origin isteklerinde handshake oranı, bağlantı sayısı, hata ve gecikmeyi ölçün. Cloudflare önbelleği bazı istekleri origin’e göndermese de bunun düzeyi içerik ve önbellek politikasına bağlıdır.
Bağlantı yeniden kullanımı ve sunucunun desteklediği TLS ayarları maliyeti etkileyebilir; doğrulamayı kapatarak iyileştirme yapmayın. Önbellek güvenliği ayrı bir konudur: mTLS kişiselleştirilmiş yanıtları ortak önbelleğe uygun hâle getirmez. Kullanıcı/tenant ayrımı, Cache-Control ve cache key kapsamı uygulama gereksinimlerine göre tasarlanmalıdır. Önce kabul politikasının çalıştığını, sonra ölçülen performans sorununu doğrulayın.
AOP’yi Aşamalı Olarak Devreye Alma
Hazırlık, Gözlem, Zorlama ve Doğrulama
Önce uygun origin sunucu sertifikasını dağıtın ve Full (strict) bağlantısını doğrulayın. Seçilen AOP düzeyinin doğru CA güvenini kontrollü ortamda hazırlayın; gerekiyorsa kısa bir optional gözlem aşaması kullanın. Cloudflare’da doğru global/zone/hostname ayarını etkinleştirip origin’de gelen istemciyi gözleyin. Ardından doğrulamayı zorunlu tutun, sertifikasız ve güvenilmeyen istemcilerin reddini ve Cloudflare üzerinden gerçek origin erişiminin başarısını test edin.
Ağ izin listesini, bütün vhost/port yollarını ve IPv4/IPv6 kapsamını doğrulayın. Dışarıdan zaman aşımı görmek yalnız ağ engelini gösterebilir; mTLS kanıtı değildir. İzinli kontrollü bir test yolunda sunucu güveni doğruyken istemci sertifikası olmadan reddi gözleyin. Cloudflare üzerinden testin önbellekten gelmediğini origin günlüğüyle doğrulayın. Son durumda zorunlu doğrulama, doğru güven kapsamı ve çalışan beklenen trafik birlikte görülmelidir.
Erişim Yetkileri ve Değişiklik Denetimi
İşletim Sorumluluklarını Belgeleme
İstemci CA güvenini genişletmek, özel AOP anahtarını değiştirmek veya alternatif dinleyici açmak erişim kapsamını etkiler. Bu değişiklikleri gözden geçirilebilir biçimde kaydedin; ayar testini, yeniden yükleme sonucunu ve yeni bağlantı gözlemini saklayın. Süre bitimi, doğrulama hatası ve dağıtım başarısızlığı için sorumluluk belirleyin. Bir başka ortamın daha gevşek varsayılan ayarını korunan origin’e taşımayın.
Uygulama ek bir kimlik veya imza kontrolü kullanıyorsa bunun güven kaynağını ve doğrulama yolunu ayrıca tanımlayın. CF-Ray korelasyon için, istemci-IP başlığı ağ metaverisi için yararlıdır; bu alanlar kendi başına erişim yetkisi değildir. Bir başlığın varlığını doğrulanmış AOP istemcisi veya yetkili son kullanıcıyla eşdeğer saymayın. Güvenilen proxy listesini ve gelen başlıkların üzerine yazma politikasını açık tutun.
Origin Korumasını Doğrulama
Tamamlanma Ölçütleri
Korunan doğrudan origin’de Cloudflare sunucuyu Full (strict) ile, origin de seçilen AOP istemcisini zorunlu sertifika doğrulamasıyla denetlemelidir. Global sertifika hesap kimliği sağlamaz; özel kullanımda origin güveni gerçekten gerekli kimliğe daralmalıdır. Beklenen trafiğin çalışması ve yetkisiz bağlantının doğru nedenle reddedilmesi birlikte doğrulanır. Tunnel ve Access mTLS bu kontrolle karıştırılmaz.
Sertifika dosyalarını, kabul edilen CA’ları, gerçek Host/SNI hedeflerini ve rotasyon adımlarını güncel tutun. Anahtar ihlalinde yeni anahtar, istemci değişimi ve eski yetkinin kaldırılması planlanmalıdır; açığa çıkan anahtara geri dönmeyin. AOP belgeleri origin bağlantısını, istemci sertifikaları belgeleri diğer mTLS kullanım yönlerini açıklar. Her değişiklikte ilgili yolu yeniden test edin ve sertifika süresini izlemeyi sürdürün.
