Zertifikatsperrlisten

Last published : Oct 14, 2026
Von Zeit zu Zeit geben Zertifizierungsstellen (CAs) Zertifikatsperrlisten (CRLs) heraus. CRLs enthalten Informationen über Zertifikate, denen nicht mehr vertraut werden kann. Angenommen, Ann verlässt die XYZ Corporation. Das Unternehmen kann Anns Zertifikat auf eine CRL setzen, um zu verhindern, dass sie Nachrichten mit diesem Schlüssel signiert.
Ebenso können Sie ein Zertifikat widerrufen, wenn ein privater Schlüssel kompromittiert wurde oder wenn das Zertifikat abgelaufen ist und ein neues verwendet wird. Bevor Sie einem öffentlichen Schlüssel vertrauen, stellen Sie sicher, dass das Zertifikat nicht auf einer CRL erscheint.
NetScaler Gateway unterstützt die folgenden zwei CRL-Typen:
  • CRLs, die die Zertifikate auflisten, die widerrufen wurden oder nicht mehr gültig sind
  • Online Certificate Status Protocol (OSCP), ein Internetprotokoll zur Abfrage des Widerrufsstatus von X.509-Zertifikaten
So fügen Sie eine CRL hinzu:
Bevor Sie die CRL auf der NetScaler Gateway Appliance konfigurieren, stellen Sie sicher, dass die CRL-Datei lokal auf der Appliance gespeichert ist. Im Falle einer Hochverfügbarkeitskonfiguration muss die CRL-Datei auf beiden NetScaler Gateway Appliances vorhanden sein, und der Verzeichnispfad zur Datei muss auf beiden Appliances identisch sein.
Wenn Sie die CRL aktualisieren müssen, können Sie die folgenden Parameter verwenden:
  • CRL-Name: Der Name der auf dem NetScaler hinzuzufügenden CRL. Maximal 31 Zeichen.
  • CRL-Datei: Der Name der auf dem NetScaler hinzuzufügenden CRL-Datei. Der NetScaler sucht standardmäßig im Verzeichnis /var/netscaler/ssl nach der CRL-Datei. Maximal 63 Zeichen.
  • URL: Maximal 127 Zeichen
  • Basis-DN: Maximal 127 Zeichen
  • Bind-DN: Maximal 127 Zeichen
  • Passwort: Maximal 31 Zeichen
  • Tage: Maximal 31
  1. Klicken Sie im Konfigurationsdienstprogramm auf der Registerkarte Konfiguration auf erweitern SSL und dann auf CRL.
  2. Klicken Sie im Detailbereich auf Hinzufügen.
  3. Geben Sie im Dialogfeld CRL hinzufügen die Werte für Folgendes an:
    • CRL-Name
    • CRL-Datei
    • Format (wahlweise)
    • CA-Zertifikat (optional)
  4. Klicken Sie auf Erstellen und dann auf Schließen. Wählen Sie im Detailbereich der CRL die von Ihnen konfigurierte CRL aus und überprüfen Sie, ob die am unteren Bildschirmrand angezeigten Einstellungen korrekt sind.
So konfigurieren Sie die automatische CRL-Aktualisierung über LDAP oder HTTP in der GUI:
Eine CRL wird von einer CA regelmäßig oder manchmal sofort nach dem Widerruf eines bestimmten Zertifikats generiert und veröffentlicht. Citrix empfiehlt, CRLs auf der NetScaler Gateway Appliance regelmäßig zu aktualisieren, um Clients vor dem Verbindungsversuch mit ungültigen Zertifikaten zu schützen.
Die NetScaler Gateway Appliance kann CRLs von einem Webspeicherort oder einem LDAP-Verzeichnis aktualisieren. Wenn Sie Aktualisierungsparameter und einen Webspeicherort oder einen LDAP-Server angeben, muss die CRL zum Zeitpunkt der Ausführung des Befehls nicht auf der lokalen Festplatte vorhanden sein. Die erste Aktualisierung speichert eine Kopie auf der lokalen Festplatte, in dem durch den Parameter CRL-Datei angegebenen Pfad. Der Standardpfad zum Speichern der CRL ist /var/netscaler/ssl.
Related information
Zertifikatsverwaltung auf NetScaler Gateway
Zertifikatsverwaltung auf NetScaler Gateway

CRL-Aktualisierungsparameter

CRL-Name
Der Name der CRL, die auf dem NetScaler Gateway aktualisiert wird.
CRL-Auto-Aktualisierung aktivieren
CRL-Auto-Aktualisierung aktivieren oder deaktivieren.
CA-Zertifikat
Das Zertifikat der CA, die die CRL ausgestellt hat. Dieses CA-Zertifikat muss auf der Appliance installiert sein. Der NetScaler kann CRLs nur von CAs aktualisieren, deren Zertifikate auf ihm installiert sind.
Methode
Protokoll, über das die CRL-Aktualisierung von einem Webserver (HTTP) oder einem LDAP-Server abgerufen werden soll. Mögliche Werte: HTTP, LDAP. Standard: HTTP.
Bereich
Der Umfang des Suchvorgangs auf dem LDAP-Server. Wenn der angegebene Bereich
Base ist, erfolgt die Suche auf derselben Ebene wie der Basis-DN. Wenn der angegebene Bereich
One ist, erstreckt sich die Suche auf eine Ebene unterhalb des Basis-DN.
Server-IP
Die IP-Adresse des LDAP-Servers, von dem die CRL abgerufen wird. Wählen Sie IPv6, um eine IPv6-IP-Adresse zu verwenden.
Port
Die Portnummer, über die der LDAP- oder HTTP-Server kommuniziert.
URL
Die URL für den Webspeicherort, von dem die CRL abgerufen wird.
Basis-DN
Der Basis-DN, der vom LDAP-Server für die Suche nach dem CRL-Attribut verwendet wird.
Hinweis: Citrix® empfiehlt die Verwendung des Basis-DN-Attributs anstelle des Aussteller-Namens aus dem CA-Zertifikat, um die CRL im LDAP-Server zu suchen. Das Feld „Aussteller-Name“ stimmt möglicherweise nicht genau mit dem DN der LDAP-Verzeichnisstruktur überein.
Bindungs-DN
Das Bindungs-DN-Attribut wird verwendet, um auf das CRL-Objekt im LDAP-Repository zuzugreifen. Die Bindungs-DN-Attribute sind die Administratoranmeldeinformationen für den LDAP-Server. Konfigurieren Sie diesen Parameter, um unbefugten Zugriff auf die LDAP-Server einzuschränken.
Passwort
Das Administratorpasswort, das für den Zugriff auf das CRL-Objekt im LDAP-Repository verwendet wird. Ein Passwort ist erforderlich, wenn der Zugriff auf das LDAP-Repository eingeschränkt ist, d. h. anonymer Zugriff nicht erlaubt ist.
Intervall
Das Intervall, in dem die CRL-Aktualisierung durchgeführt werden muss. Für eine sofortige CRL-Aktualisierung geben Sie das Intervall als NOW an. Mögliche Werte: MONTHLY, DAILY, WEEKLY, NOW, NONE.
Tage
Der Tag, an dem die CRL-Aktualisierung durchgeführt werden muss. Die Option ist nicht verfügbar, wenn das Intervall auf DAILY eingestellt ist.
Uhrzeit
Die genaue Uhrzeit im 24-Stunden-Format, zu der die CRL-Aktualisierung durchgeführt werden muss.
Binär
Stellen Sie den LDAP-basierten CRL-Abrufmodus auf binär ein. Mögliche Werte: YES, NO. Standard: NO.
  1. Im Navigationsbereich erweitern SSL und klicken Sie dann auf CRL.
  2. Wählen Sie die konfigurierte CRL aus, für die Sie die Aktualisierungsparameter aktualisieren möchten, und klicken Sie dann auf „Öffnen“.
  3. Wählen Sie die Option CRL-Auto-Aktualisierung aktivieren.
  4. Geben Sie in der Gruppe CRL-Auto-Aktualisierungsparameter Werte für die folgenden Parameter an: Hinweis: Ein Sternchen (*) kennzeichnet einen erforderlichen Parameter.
    • Methode
    • Binär
    • Bereich
    • Server-IP
    • Port*
    • URL
    • Basis-DN*
    • Bind-DN
    • Kennwort
    • Intervall
    • Tage
    • Uhrzeit
  5. Klicken Sie auf Erstellen. Wählen Sie im CRL-Bereich die von Ihnen konfigurierte CRL aus und überprüfen Sie, ob die am unteren Bildschirmrand angezeigten Einstellungen korrekt sind.

Zertifikatstatus mit OCSP überwachen

Das Online Certificate Status Protocol (OCSP) ist ein Internetprotokoll, das zur Bestimmung des Status eines Client-SSL-Zertifikats verwendet wird. NetScaler Gateway unterstützt OCSP gemäß RFC 2560. OCSP bietet erhebliche Vorteile gegenüber Zertifikatsperrlisten (CRLs) in Bezug auf zeitnahe Informationen. Ein aktueller Sperrstatus eines Client-Zertifikats ist besonders nützlich bei Transaktionen mit großen Geldbeträgen und hochwertigen Aktienhandelsgeschäften. Es verbraucht auch weniger System- und Netzwerkressourcen. Die NetScaler Gateway-Implementierung von OCSP umfasst die Stapelverarbeitung von Anfragen und das Caching von Antworten.

NetScaler Gateway-Implementierung von OCSP

Die OCSP-Validierung auf einer NetScaler Gateway-Appliance beginnt, wenn NetScaler Gateway während eines SSL-Handshakes ein Client-Zertifikat empfängt. Um das Zertifikat zu validieren, erstellt NetScaler Gateway eine OCSP-Anfrage und leitet sie an den OCSP-Responder weiter. Dazu extrahiert NetScaler Gateway entweder die URL für den OCSP-Responder aus dem Client-Zertifikat oder verwendet eine lokal konfigurierte URL. Die Transaktion befindet sich in einem angehaltenen Zustand, bis NetScaler Gateway die Antwort vom Server auswertet und entscheidet, ob die Transaktion zugelassen oder abgelehnt werden soll. Wenn die Antwort vom Server über die konfigurierte Zeit hinaus verzögert wird und keine anderen Responder konfiguriert sind, lässt NetScaler Gateway die Transaktion zu oder zeigt einen Fehler an, je nachdem, ob Sie die OCSP-Prüfung als optional oder obligatorisch festgelegt haben. NetScaler Gateway unterstützt die Stapelverarbeitung von OCSP-Anfragen und das Caching von OCSP-Antworten, um die Last auf dem OCSP-Responder zu reduzieren und schnellere Antworten zu liefern.

Stapelverarbeitung von OCSP-Anfragen

Jedes Mal, wenn NetScaler Gateway ein Client-Zertifikat empfängt, sendet es eine Anfrage an den OCSP-Responder. Um eine Überlastung des OCSP-Responders zu vermeiden, kann NetScaler Gateway den Status mehrerer Client-Zertifikate in derselben Anfrage abfragen. Damit die Stapelverarbeitung von Anfragen effizient funktioniert, müssen Sie ein Zeitlimit definieren, damit die Verarbeitung eines einzelnen Zertifikats nicht verzögert wird, während auf die Bildung eines Stapels gewartet wird.

Caching von OCSP-Antworten

Das Caching von Antworten, die vom OCSP-Responder empfangen werden, ermöglicht schnellere Antworten an den Benutzer und reduziert die Last auf dem OCSP-Responder. Nach Erhalt des Sperrstatus eines Client-Zertifikats vom OCSP-Responder speichert NetScaler Gateway die Antwort lokal für eine vordefinierte Zeitdauer. Wenn ein Client-Zertifikat während eines SSL-Handshakes empfangen wird, prüft NetScaler Gateway zuerst seinen lokalen Cache auf einen Eintrag für dieses Zertifikat. Wenn ein noch gültiger Eintrag gefunden wird (innerhalb des Cache-Zeitlimits), wird der Eintrag ausgewertet und das Client-Zertifikat akzeptiert oder abgelehnt. Wenn kein Zertifikat gefunden wird, sendet NetScaler Gateway eine Anfrage an den OCSP-Responder und speichert die Antwort für eine konfigurierte Zeitdauer in seinem lokalen Cache.

OCSP-Zertifikatstatus konfigurieren

Das Konfigurieren eines Online Certificate Status Protocol (OCSP) umfasst das Hinzufügen eines OCSP-Responders, das Binden des OCSP-Responders an ein signiertes Zertifikat einer Zertifizierungsstelle (CA) und das Binden des Zertifikats und des privaten Schlüssels an einen virtuellen Secure Sockets Layer (SSL)-Server. Wenn Sie ein anderes Zertifikat und einen anderen privaten Schlüssel an einen bereits konfigurierten OCSP-Responder binden müssen, müssen Sie zuerst den Responder entbinden und dann den Responder an ein anderes Zertifikat binden.

So konfigurieren Sie OCSP

  1. Klicken Sie auf der Registerkarte „Konfiguration“ im Navigationsbereich auf erweitern SSL und dann auf „OCSP-Responder“.
  2. Klicken Sie im Detailbereich auf „Hinzufügen“.
  3. Geben Sie unter „Name“ einen Namen für das Profil ein.
  4. Geben Sie unter „URL“ die Webadresse des OCSP-Responders ein.
    Dieses Feld ist obligatorisch. Die Webadresse darf 32 Zeichen nicht überschreiten.
  5. Um die OCSP-Antworten zwischenzuspeichern, klicken Sie auf Cache und geben Sie unter Timeout die Anzahl der Minuten ein, die NetScaler Gateway die Antwort speichert.
  6. Klicken Sie unter Anforderungs-Batching auf Aktivieren.
  7. Geben Sie unter Batching-Verzögerung die Zeit in Millisekunden an, die für das Batching einer Gruppe von OCSP-Anforderungen zulässig ist.
    Die Werte können zwischen 0 und 10000 liegen. Der Standardwert ist 1.
  8. Geben Sie unter Produced At Time Skew die Zeitspanne ein, die NetScaler Gateway verwenden kann, wenn das Gerät die Antwort überprüfen oder akzeptieren muss.
  9. Wählen Sie unter Antwortüberprüfung Vertrauenswürdige Antworten aus, wenn Sie die Signaturprüfungen durch den OCSP-Responder deaktivieren möchten.
    Wenn Sie Vertrauenswürdige Antworten aktivieren, überspringen Sie Schritt 8 und Schritt 9.
  10. Wählen Sie unter Zertifikat das Zertifikat aus, das zum Signieren der OCSP-Antworten verwendet wird.
    Wenn kein Zertifikat ausgewählt ist, wird die CA, an die der OCSP-Responder gebunden ist, zur Überprüfung der Antworten verwendet.
  11. Geben Sie unter Anforderungs-Timeout die Anzahl der Millisekunden ein, die auf eine OCSP-Antwort gewartet werden soll.
    Diese Zeit beinhaltet die Batching-Verzögerungszeit. Die Werte können zwischen 0 und 120000 liegen. Der Standardwert ist 2000.
  12. Wählen Sie unter Signaturzertifikat das Zertifikat und den privaten Schlüssel aus, die zum Signieren von OCSP-Anforderungen verwendet werden. Wenn Sie kein Zertifikat und keinen privaten Schlüssel angeben, werden die Anforderungen nicht signiert.
  13. Um die einmal verwendete Zahl (nonce) extension zu aktivieren, wählen Sie Nonce aus.
  14. Um ein Clientzertifikat zu verwenden, klicken Sie auf Clientzertifikat-Einfügung.
  15. Klicken Sie auf Erstellen und dann auf Schließen.