Проверка сертификата по CRL

Работа с сертификатами ~1 мин чтения 178 слов

Для проверки сертификата партнера по списку отозванных сертификатов (CRL) нужно:

В LSP-конфигурации

В структуре GlobalParameters задать атрибут CRLHandlingMode, при значениях этого атрибута:

DISABLE - при проверке сертификата CRL не обрабатывается;
OPTIONAL - используется действующий CRL из базы Продукта, либо присланный партнером по протоколу IKE. Если действующий CRL не найден, то проверка сертификата по CRL не осуществляется;
BEST_EFFORT - в отличие от OPTIONAL, действующий CRL может быть получен по протоколу LDAP;
ENABLE - для успешной проверки сертификата обязателен действующий CRL.

В cisco-like конфигурации

В режиме команды crypto pki trustpoint командой revocation-check задается режим использования CRL:

revocation-check crl - для успешной проверки сертификата обязателен действующий CRL;
revocation-check crl none - в случае отсутствия действующего CRL в базе продукта, CRL может быть получен посредством протокола LDAP. Если CRL получить не удалось - сертификат принимается;
revocation-check none - при проверке сертификата партнера будет производиться попытка воспользоваться CRL из базы Продукта или CRL, полученным в процессе IKE обмена, но не будет производиться попытка получить его по LDAP. Если действующий CRL не найден, то сертификат партнера принимается.