证书吊销列表

Last published : Oct 14, 2026
证书颁发机构 (CA) 会不时颁发证书吊销列表 (CRL)。CRL 包含有关不再受信任的证书的信息。例如，假设 Ann 离开了 XYZ 公司。公司可以将 Ann 的证书放在 CRL 上，以防止她使用该密钥签署消息。
同样，如果私钥泄露或证书已过期并正在使用新证书，您可以吊销该证书。在信任公钥之前，请确保该证书未出现在 CRL 上。
NetScaler Gateway 支持以下两种 CRL 类型：
  • 列出已吊销或不再有效的证书的 CRL
  • 在线证书状态协议 (OSCP)，一种用于获取 X.509 证书吊销状态的互联网协议
添加 CRL：
在 NetScaler Gateway 设备上配置 CRL 之前，请确保 CRL 文件已本地存储在设备上。在高可用性设置中，CRL 文件必须同时存在于两台 NetScaler Gateway 设备上，并且文件的目录路径在两台设备上必须相同。
如果需要刷新 CRL，可以使用以下参数：
  • CRL 名称：在 NetScaler 上添加的 CRL 的名称。最多 31 个字符。
  • CRL 文件：在 NetScaler 上添加的 CRL 文件的名称。NetScaler 默认在 /var/netscaler/ssl 目录中查找 CRL 文件。最多 63 个字符。
  • URL：最多 127 个字符
  • 基本 DN：最多 127 个字符
  • 绑定 DN：最多 127 个字符
  • 密码：最多 31 个字符
  • 天数：最大 31
  1. 在配置实用程序中，在“配置”选项卡上，展开“SSL”，然后单击“CRL”。
  2. 在详细信息窗格中，单击“添加”。
  3. 在“添加 CRL”对话框中，指定以下值：
    • CRL 名称
    • CRL 文件
    • 格式 (可选)
    • CA 证书 (可选)
  4. 单击“创建”，然后单击“关闭”。在 CRL 详细信息窗格中，选择您配置的 CRL 并验证屏幕底部显示的设置是否正确。
要在 GUI 中使用 LDAP 或 HTTP 配置 CRL 自动刷新：
CRL 由 CA 定期生成和发布，有时在特定证书被吊销后立即发布。Citrix 建议您定期更新 NetScaler Gateway 设备上的 CRL，以防止客户端尝试使用无效证书进行连接。
NetScaler Gateway 设备可以从 Web 位置或 LDAP 目录刷新 CRL。当您指定刷新参数以及 Web 位置或 LDAP 服务器时，在运行命令时，CRL 不必存在于本地硬盘驱动器上。首次刷新会将副本存储在本地硬盘驱动器上，路径由 CRL 文件参数指定。存储 CRL 的默认路径是 /var/netscaler/ssl。
Related information
NetScaler Gateway 上的证书管理
NetScaler Gateway 上的证书管理

CRL 刷新参数

CRL 名称
在 NetScaler Gateway 上刷新的 CRL 的名称。
启用 CRL 自动刷新
启用或禁用 CRL 自动刷新。
CA 证书
颁发 CRL 的 CA 证书。此 CA 证书必须安装在设备上。NetScaler 只能从已安装其证书的 CA 更新 CRL。
方法
用于从 Web 服务器 (HTTP) 或 LDAP 服务器获取 CRL 刷新的协议。可能的值：HTTP、LDAP。默认值：HTTP。
范围
LDAP 服务器上搜索操作的范围。如果指定的范围是
Base，则搜索与基本 DN 处于同一级别。如果指定的范围是
One，则搜索扩展到基本 DN 下一级。
服务器 IP
从中检索 CRL 的 LDAP 服务器的 IP 地址。选择 IPv6 以使用 IPv6 IP 地址。
端口
LDAP 或 HTTP 服务器进行通信的端口号。
URL
从中检索 CRL 的 Web 位置的 URL。
基本 DN
LDAP 服务器用于搜索 CRL 属性的基本 DN。
注意：Citrix® 建议使用基本 DN 属性而不是 CA 证书中的颁发者名称 (Issuer-Name) 来搜索 LDAP 服务器中的 CRL。Issuer-Name 字段可能与 LDAP 目录结构的 DN 不完全匹配。
绑定 DN
绑定 DN 属性用于访问 LDAP 存储库中的 CRL 对象。绑定 DN 属性是 LDAP 服务器的管理员凭据。配置此参数以限制对 LDAP 服务器的未经授权的访问。
密码
用于访问 LDAP 存储库中 CRL 对象的管理员密码。如果对 LDAP 存储库的访问受限（即不允许匿名访问），则需要密码。
间隔
必须执行 CRL 刷新的间隔。对于即时 CRL 刷新，请将间隔指定为 NOW。可能的值：MONTHLY、DAILY、WEEKLY、NOW、NONE。
天数
必须执行 CRL 刷新的日期。如果间隔设置为 DAILY，则此选项不可用。
时间
必须执行 CRL 刷新的 24 小时制的确切时间。
二进制
将基于 LDAP 的 CRL 检索模式设置为二进制。可能的值：YES、NO。默认值：NO。
  1. 在导航窗格中，展开 SSL，然后单击 CRL。
  2. 选择要更新其刷新参数的已配置 CRL，然后单击“打开”。
  3. 选择“启用 CRL 自动刷新”选项。
  4. 在“CRL 自动刷新参数”组中，指定以下参数的值： 注意：星号 (*) 表示必填参数。
    • 方法
    • 二进制
    • 范围
    • 服务器 IP
    • 端口*
    • URL
    • 基本 DN*
    • 绑定 DN
    • 密码
    • 间隔
    • 天数
    • 时间
  5. 单击“创建”。在“CRL”窗格中，选择您配置的 CRL，并验证屏幕底部显示的设置是否正确。

使用 OCSP 监控证书状态

在线证书状态协议 (OCSP) 是一种互联网协议，用于确定客户端 SSL 证书的状态。NetScaler Gateway 支持 RFC 2560 中定义的 OCSP。在及时性方面，OCSP 比证书吊销列表 (CRL) 具有显著优势。客户端证书的最新吊销状态在涉及大笔资金和高价值股票交易的事务中特别有用。它还使用更少的系统和网络资源。NetScaler Gateway 的 OCSP 实现包括请求批处理和响应缓存。

NetScaler Gateway 的 OCSP 实现

NetScaler Gateway 设备上的 OCSP 验证在 NetScaler Gateway 在 SSL 握手期间收到客户端证书时开始。为了验证证书，NetScaler Gateway 会创建一个 OCSP 请求并将其转发给 OCSP 响应程序。为此，NetScaler Gateway 会从客户端证书中提取 OCSP 响应程序的 URL，或者使用本地配置的 URL。事务处于挂起状态，直到 NetScaler Gateway 评估来自服务器的响应并确定是允许还是拒绝该事务。如果服务器的响应延迟超过配置时间且未配置其他响应程序，NetScaler Gateway 将允许该事务或显示错误，具体取决于您将 OCSP 检查设置为可选还是强制。NetScaler Gateway 支持 OCSP 请求批处理和 OCSP 响应缓存，以减少 OCSP 响应程序的负载并提供更快的响应。

OCSP 请求批处理

每当 NetScaler Gateway 收到客户端证书时，它都会向 OCSP 响应程序发送请求。为避免 OCSP 响应程序过载，NetScaler Gateway 可以在同一请求中查询多个客户端证书的状态。为了使请求批处理高效工作，您需要定义一个超时时间，以便在等待形成批处理时不会延迟单个证书的处理。

OCSP 响应缓存

缓存从 OCSP 响应程序收到的响应可以加快对用户的响应速度，并减少 OCSP 响应程序的负载。从 OCSP 响应程序收到客户端证书的吊销状态后，NetScaler Gateway 会在本地缓存该响应一段预定义的时间。当在 SSL 握手期间收到客户端证书时，NetScaler Gateway 首先检查其本地缓存中是否存在此证书的条目。如果找到仍然有效（在缓存超时限制内）的条目，则评估该条目并接受或拒绝客户端证书。如果未找到证书，NetScaler Gateway 会向 OCSP 响应程序发送请求，并将响应存储在其本地缓存中一段配置的时间。

配置 OCSP 证书状态

配置在线证书状态协议 (OCSP) 涉及添加 OCSP 响应程序、将 OCSP 响应程序绑定到证书颁发机构 (CA) 颁发的签名证书，以及将证书和私钥绑定到安全套接字层 (SSL) 虚拟服务器。如果您需要将不同的证书和私钥绑定到已配置的 OCSP 响应程序，则需要先解除绑定该响应程序，然后将其绑定到不同的证书。

配置 OCSP

  1. 在“配置”选项卡上，在导航窗格中，展开“SSL”，然后单击“OCSP 响应程序”。
  2. 在详细信息窗格中，单击“添加”。
  3. 在“名称”中，键入配置文件的名称。
  4. 在“URL”中，键入 OCSP 响应程序的 Web 地址。
    此字段为必填项。Web 地址不能超过 32 个字符。
  5. 要缓存 OCSP 响应，请单击“缓存”，然后在“超时”中键入 NetScaler Gateway 保留响应的分钟数。
  6. 在“请求批处理”下，单击“启用”。
  7. 在“批处理延迟”中，指定允许批处理一组 OCSP 请求的时间（以毫秒为单位）。
    值范围为 0 到 10000。默认值为 1。
  8. 在“生成时间偏差”中，键入设备必须检查或接受响应时 NetScaler Gateway 可以使用的时间量。
  9. 在“响应验证”下，如果要禁用 OCSP 响应程序进行的签名检查，请选择“信任响应”。
    如果启用“信任响应”，请跳过步骤 8 和步骤 9。
  10. 在“证书”中，选择用于签署 OCSP 响应的证书。
    如果未选择证书，则使用 OCSP 响应程序绑定的 CA 来验证响应。
  11. 在“请求超时”中，键入等待 OCSP 响应的毫秒数。
    此时间包括“批处理延迟”时间。值范围为 0 到 120000。默认值为 2000。
  12. 在“签名证书”中，选择用于签署 OCSP 请求的证书和私钥。如果未指定证书和私钥，则请求将不会签名。
  13. 要启用一次性使用的数字 (nonce) extension，请选择“随机数”。
  14. 要使用客户端证书，请单击“客户端证书插入”。
  15. 点击“创建”，然后点击“关闭”。