Получение сертификата партнера по LDAP

Работа с сертификатами ~1 мин чтения 257 слов

Получение сертификата партнера по LDAP

Сертификат партнера можно получить либо по протоколу IKE, либо по протоколу LDAP.

При построении защищенного соединения сначала отправляется запрос на получение локального сертификата к партнеру по IKE. Если партнер не прислал сертификат, а прислал свой идентификатор, то далее по этому идентификатору осуществляется поиск сертификата партнера в базе Продукта. В случае неудачи, поиск сертификата по значению Subject будет продолжен по протоколу LDAP на LDAP-сервере.

Для прохождения LDAP-пакетов до LDAP-сервера необходимо в политике задать соответствующие правила фильтрации трафика.

В LSP-конфигурации

В локальной конфигурации задать структуру LDAPSettings с IP-адресом LDAP-сервера и также:

Если партнер прислал идентификатор типа DN:

• осуществляется поиск сертификата партнера по полученному Subject сначала в базе Продукта, а затем на LDAP-сервере;

Если партнер прислал идентификатор другого типа:

• для получения Subject в локальной конфигурации задаются атрибуты RemoteID, RemoteCredential, DoNotMapRemoteIDToCert;

• если DoNotMapRemoteIDToCert = TRUE, то Subject будет составляться из RemoteCredential;

• если DoNotMapRemoteIDToCert = FALSE, то Subject будет составляться из RemoteCredential и RemoteID;

• по составленному значению Subject осуществляется поиск сертификата партнера сначала в базе Продукта, а затем на LDAP-сервере.

В cisco-like конфигурации

Если партнер не прислал свой сертификат по протоколу IKE и в базе Продукта его нет, то посылается запрос на LDAP-сервер, заданный в команде crl query для получения сертификата партнера. По полученному от партнера идентификатору типа dn будет осуществляться поиск сертификата. Если получен идентификатор другого типа - запрос на LDAP-сервер не посылается. Если отредактировать сконвертированную native-конфигурацию для работы с идентификаторами другого типа, как описано в предыдущем пункте, то сертификат партнера можно получить по LDAP.