Cloudflare 525 SSL Handshake Failed Hatası Nasıl Çözülür?

Cloudflare ile kaynak sunucu arasındaki SSL el sıkışması başarısız olduğunda 525 hatası oluşur. SSL modunu ve sertifikayı kontrol edin.

Cloudflare 525 Hatası Nedir?

Cloudflare 525 SSL Handshake Failed hatası, Cloudflare ile kaynak sunucunuz (origin server) arasında SSL/TLS el sıkışmasının (handshake) başarısız olduğunu gösterir. Bu hata, Cloudflare'in SSL modunun sunucunuzdaki SSL yapılandırmasıyla uyumsuz olduğunda ya da kaynak sunucuda geçerli bir SSL sertifikası bulunmadığında oluşur.

Cloudflare proxy olarak çalışırken iki farklı SSL bağlantısı kurar: biri kullanıcı ile Cloudflare arasında, diğeri Cloudflare ile kaynak sunucunuz arasında. 525 hatası, bu ikinci bağlantının kurulamadığını gösterir. Kullanıcılar sitenize ulaşamaz ve Cloudflare'in hata sayfasını görür.

Error 525: SSL Handshake Failed
Cloudflare is unable to reach your origin web server using SSL/TLS.

Bu hatayı 526 hatasıyla karıştırmayın. 526 "Invalid SSL Certificate" hatası sertifikanın geçersiz/imzasız olduğunu gösterirken, 525 doğrudan el sıkışma başarısızlığını ifade eder.

Olası Nedenler

• Cloudflare SSL modu Full (Strict) seçili ama sunucuda geçerli sertifika yok
• Kaynak sunucuda SSL sertifikasının süresi dolmuş
• Kaynak sunucu port 443'ü dinlemiyor veya SSL düzgün yapılandırılmamış
• SSL/TLS cipher suite uyumsuzluğu (sunucu eski cipher'lar kullanıyor)
• SNI (Server Name Indication) yapılandırması eksik
• Cloudflare IP adreslerinin kaynak sunucuda engellenmesi
• Kaynak sunucudaki güvenlik duvarı (firewall) port 443'ü engelliyor
• SSL sertifikası domain adıyla eşleşmiyor (CN mismatch)

Çözüm Adımları

1. Cloudflare SSL Modunu Kontrol Etme ve Değiştirme

Cloudflare Dashboard'da şu adımları izleyin:

• Cloudflare Dashboard → SSL/TLS → Overview
• Mevcut modu görün. Seçenekler: Off, Flexible, Full, Full (Strict)

Önce sorunu izole etmek için modu Flexible olarak değiştirin. Eğer site açılıyorsa sorun kaynak sunucudaki SSL sertifikasındadır. Uzun vadeli çözüm olarak sunucunuza geçerli SSL sertifikası kurarak Full (Strict) moduna geçin.

2. Kaynak Sunucuda SSL Durumunu Test Etme

Cloudflare'i devre dışı bırakmadan önce, Cloudflare IP üzerinden değil, doğrudan kaynak sunucuya SSL bağlantısı test edin:

openssl s_client -connect kaynak_sunucu_ip:443 -servername example.com

Eğer bağlantı kurulamazsa veya hata alırsanız, kaynak sunucunuzda SSL düzgün çalışmıyor demektir.

3. Cloudflare Origin Certificate Kullanma

En güvenilir çözüm, Cloudflare'in sağladığı ücretsiz Origin Certificate kullanmaktır:

• Cloudflare Dashboard → SSL/TLS → Origin Server
• Create Certificate butonuna tıklayın
• Domain listesini doğrulayın ve geçerlilik süresini seçin (15 yıla kadar)
• Sertifika ve özel anahtarı indirin

Apache'ye yüklemek için:

SSLCertificateFile /etc/ssl/cloudflare/origin.pem
SSLCertificateKeyFile /etc/ssl/cloudflare/origin.key

Nginx'e yüklemek için:

ssl_certificate /etc/ssl/cloudflare/origin.pem;
ssl_certificate_key /etc/ssl/cloudflare/origin.key;

4. SSL Cipher Suite Güncelleme

Eski sunucularda Cloudflare'in desteklemediği cipher'lar kullanılıyor olabilir. Nginx için modern cipher suite kullanın:

nano /etc/nginx/nginx.conf
# ssl_protocols bloğunu güncelleyin:
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;

5. Cloudflare IP Adreslerini Beyaz Listeye Alma

Sunucunuzdaki firewall Cloudflare IP'lerini engelliyorsa beyaz listeye ekleyin. Cloudflare'nin güncel IP listesi cloudflare.com/ips adresindedir:

# UFW ile:
sudo ufw allow from 173.245.48.0/20 to any port 443
sudo ufw allow from 103.21.244.0/22 to any port 443
# ... tüm Cloudflare IP bloklarını ekleyin

Özet ve Önleyici Tedbirler

• En güvenilir yapılandırma: Cloudflare Origin Certificate + Full (Strict) mod
• Sunucunuzdaki SSL sertifikasını düzenli olarak yenileyin
• TLS 1.0 ve 1.1'i devre dışı bırakın, sadece TLS 1.2 ve 1.3 kullanın
• Cloudflare Dashboard'daki SSL/TLS ayarlarını değiştirmeden önce test ortamında deneyin
• SSL Labs (ssllabs.com/ssltest) ile sunucu SSL puanınızı kontrol edin

İlgili Makaleler

• SSL Sertifikası Süresi Dolmuş (ERR_CERT_DATE_INVALID) Nasıl Çözülür?
• Let's Encrypt SSL Sertifikası Kurulumu ve Yenileme Rehberi
• Cloudflare 522 Hatası Nedir? Nasıl Çözülür?
• Cloudflare 521 Web Server Is Down Hatası Nasıl Çözülür?
• SSL Sertifikası Nasıl Kurulur? Let's Encrypt ve cPanel Rehberi

Yorumlar

Henüz yorum yok. İlk yorumu siz yapın!