GnuTLS Yapılandırma Rehberi

GnuTLS, GNU projesinin TLS kütüphanesidir ve LGPL lisansıyla dağıtılır. Bazı dağıtımlarda wget, curl ya da paket yöneticisi bileşenleri OpenSSL yerine GnuTLS ile derlenmiş olabilir; bu yüzden TLS hatalarında hangi kütüphanenin kullanıldığını bilmek önemlidir.

Kütüphaneyi tespit etme

curl -V
wget --version | head -n 3
gnutls-cli --version

Çıktıda "GnuTLS" veya "OpenSSL" ifadesi kullanılan kütüphaneyi gösterir.

Öncelik dizeleri

OpenSSL'deki cipher listesinin karşılığı, GnuTLS'te priority string'dir. Örneğin yalnızca TLS 1.2 ve 1.3'ü kabul etmek için:

NORMAL:-VERS-ALL:+VERS-TLS1.2:+VERS-TLS1.3

Hazır seviyeler (NORMAL, PERFORMANCE, SECURE128, SECURE256) bulunur. Geçerli dizeyi ve açılan paketleri görmek için:

gnutls-cli --priority NORMAL --list

Uzak sunucuyu test etme

gnutls-cli --priority "NORMAL:-VERS-ALL:+VERS-TLS1.2" example.com -p 443
gnutls-cli --print-cert example.com </dev/null

İlk komut yalnızca TLS 1.2 ile bağlantı dener; ikincisi sunucunun sertifika zincirini yazdırır.

certtool ile anahtar ve CSR

certtool --generate-privkey --rsa --bits 2048 --outfile example.key
certtool --generate-request --load-privkey example.key --outfile example.csr

Komut CSR için ortak ad, kuruluş gibi bilgileri etkileşimli olarak sorar. Sonuçta ortaya çıkan PEM dosyaları, OpenSSL ile üretilenlerle aynı biçimdedir ve sertifika başvurusunda kullanılabilir. İsterseniz CSR oluşturma aracını da kullanabilirsiniz.

Sistem genelinde ayarlar

• RHEL ve Fedora ailesinde crypto-policies, GnuTLS'in varsayılanlarını da belirler.
• Debian tabanlı sistemlerde yapılandırma dosyası konumu sürüme göre değişir; dağıtım belgelerine bakın.

Yaygın hata mesajları

• The TLS connection was non-properly terminated: Sunucu bağlantıyı kapanış uyarısı göndermeden kapatmıştır; çoğu zaman zararsızdır.
• Error in the certificate verification: Zincir eksik veya kök güvenilir depoda yoktur.
• No supported cipher suites have been found: Öncelik dizesi sunucunun kabul ettiği paketlerle kesişmiyordur.

Kütüphane farkı, sertifikanızın geçerliliğini değiştirmez. Zincir ve uyumluluk kontrolü için SSL kontrol aracını, ürünler için SSL sertifikaları sayfasını kullanabilirsiniz.