Получение CRL по HTTP

Получение CRL по HTTP

В cisco-like конфигурации

Основным методом конфигурирования различных параметров автоматической загрузки списка отозванных сертификатов (CRL) является команда cisco-like консоли - crypto pki trustpoint. Данная команда позволяет перейти в режим конфигурирования trustpoint (ca-trustpoint), в котором появляется возможность задания URL и временного интервала для загрузки CRL по протоколу HTTP (см. команды crl download group и crl download time). Например:

crypto pki trustpoint s-terra_technological_trustpoint

crl download group ca http://crl1.example.com

В LSP-конфигурации

В случае отсутствия возможности использования cisсo-like консоли для формирования политики безопасности, выполнить данные настройки можно, отредактировав конфигурационный файл /opt/VPNagent/etc/getcrls.ini следующим образом:

time=1440

[ca]

url_1=http://crl1.example.com/certsrv/certcrl.crl

url_2=http://crl2.example.com/certsrv/certcrl.crl

[local]

url_3=http://crl3.example.com/certsrv/certcrl.crl

[remote]

url_4=http://crl4.example.com/certsrv/certcrl.crl

где:

• time - устанавливает период в минутах между загрузками CRL по HTTP;
• [са] - произвольное имя, по которому группируется список адресов. Имя группы должно заключаться в квадратные скобки;
• url_1 – где 1 - номер добавляемого URL. Нумерация сквозная, т.е. каждому URL присваивается уникальный номер вне зависимости от принадлежности к какой-либо группе;
• http://crl1.example.com/certsrv/certcrl.crl - URL, по которому происходит скачивание CRL. URL должен начинаться с префикса http:// или https://.

Затем перезапустите сервис getcrls, выполнив команду:

service getcrls restart

Для разрешения проверки сертификатов по загруженному CRL, в LSP структуре GlobalParameters атрибут CRLHandlingMode должен иметь значение ENABLE, BEST_EFFORT или OPTIONAL.

Для прохождения пакетов до HTTP-сервера распространения CRL необходимо наличие в политике безопасности соответствующих правил фильтрации.