Supervisar el estado del certificado con OCSP
El Protocolo de estado de certificados en línea (OCSP) es un protocolo de Internet que se utiliza para determinar el estado de un certificado SSL de cliente. Los dispositivos NetScaler admiten OCSP tal como se define en RFC 2560. OCSP ofrece ventajas significativas sobre las listas de revocación de certificados (CRL) en términos de información oportuna. El estado de revocación actualizado de un certificado de cliente es especialmente útil en transacciones que implican grandes sumas de dinero y operaciones bursátiles de alto valor. También utiliza menos recursos del sistema y de la red. La implementación de OCSP por NetScaler incluye el procesamiento por lotes de solicitudes y el almacenamiento en caché de respuestas.
Implementación de OCSP
La validación de OCSP en un dispositivo NetScaler comienza cuando el dispositivo recibe un certificado de cliente durante un protocolo de enlace SSL. Para validar el certificado, el dispositivo crea una solicitud de OCSP y la reenvía al respondedor de OCSP. Para ello, el dispositivo utiliza una URL configurada localmente. La transacción se encuentra suspendida hasta que el dispositivo evalúe la respuesta del servidor y determine si permite la transacción o la rechaza. Si la respuesta del servidor se retrasa más allá del tiempo configurado y no hay otros respondedores configurados, el dispositivo permite la transacción o muestra un error, según si la comprobación del OCSP se estableció como opcional u obligatoria, respectivamente.
El dispositivo admite el procesamiento por lotes de solicitudes de OCSP y el almacenamiento en caché de las respuestas de OCSP para reducir la carga del respondedor de OCSP y proporcionar respuestas más rápidas.
procesamiento por lotes de solicitudes de OCSP
Cada vez que el dispositivo recibe un certificado de cliente, envía una solicitud al respondedor de OCSP. Para evitar sobrecargar el respondedor de OCSP, el dispositivo puede consultar el estado de más de un certificado de cliente en la misma solicitud. Para que esta función funcione de manera eficiente, es necesario definir un tiempo de espera para que el procesamiento de un solo certificado no se retrase excesivamente mientras se espera la formación de un lote.
Almacenamiento en caché de respuestas OCSP
El almacenamiento en caché de las respuestas recibidas del respondedor de OCSP permite respuestas más rápidas a los clientes y reduce la carga del respondedor de OCSP. Al recibir el estado de revocación de un certificado de cliente del respondedor de OCSP, el dispositivo almacena la respuesta en caché localmente durante un período de tiempo predefinido. Cuando se recibe un certificado de cliente durante un protocolo de enlace SSL, el dispositivo comprueba primero su caché local para ver si hay una entrada para este certificado. Si se encuentra una entrada que sigue siendo válida (dentro del límite de tiempo de espera de la memoria caché), se evalúa y se acepta o rechaza el certificado del cliente. Si no se encuentra ningún certificado, el dispositivo envía una solicitud al respondedor de OCSP y almacena la respuesta en su memoria caché local durante un período de tiempo configurado.
Nota: A partir de la versión 12.1, compilación 49.x, el límite de tiempo de espera de la caché ahora se ha incrementado hasta un máximo de 43200 minutos (30 días). Anteriormente, el límite era de 1440 minutos (un día). El aumento del límite ayuda a reducir las búsquedas en el servidor OCSP y a evitar cualquier error de conexión SSL/TLS en caso de que no se pueda acceder al servidor OCSP debido a problemas de red o de otro tipo.
Configuración del respondedor OCSP
La configuración de OCSP implica agregar un respondedor de OCSP, vincular el respondedor de OCSP a un certificado de autoridad certificadora (CA) y vincular el certificado a un servidor virtual SSL. Si necesita vincular un certificado diferente a un respondedor de OCSP que ya se ha configurado, primero debe desvincular el respondedor y, a continuación, vincular el respondedor a un certificado diferente.
Agregue un respondedor de OCSP mediante la CLI
En el símbolo del sistema, escriba los siguientes comandos para configurar OCSP y verificar la configuración:
add ssl ocspResponder <name> -url <URL> [-cache ( ENABLED | DISABLED )[-cacheTimeout <positive_integer>]] [ -batchingDepth <positive_integer>][-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [-responderCert <string> | -trustResponder] [-producedAtTimeSkew <positive_integer>][-signingCert <string>][-useNonce ( YES | NO )][ -insertClientCert( YES | NO )]
<!--NeedCopy-->
bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]
<!--NeedCopy-->
bind ssl vserver <vServerName>@ (-certkeyName <string> ( CA [-ocspCheck ( Mandatory | Optional )]))
<!--NeedCopy-->
show ssl ocspResponder [<name>]
<!--NeedCopy-->
Ejemplo:
add ssl ocspResponder ocsp_responder1 -url "http:// www.myCA.org:80/ocsp/" -cache ENABLED -cacheTimeout 30 -batchingDepth 8 -batchingDelay 100 -resptimeout 100 -responderCert responder_cert -producedAtTimeSkew 300 -signingCert sign_cert -insertClientCert YES
<!--NeedCopy-->
bind ssl certKey ca_cert -ocspResponder ocsp_responder1 -priority 1
<!--NeedCopy-->
bind ssl vserver vs1 -certkeyName ca_cert -CA -ocspCheck Mandatory
<!--NeedCopy-->
sh ocspResponder ocsp_responder1
1)Name: ocsp_responder1
URL: http://www.myCA.org:80/ocsp/, IP: 192.128.22.22
Caching: Enabled Timeout: 30 minutes
Batching: 8 Timeout: 100 mS
HTTP Request Timeout: 100mS
Request Signing Certificate: sign_cert
Response Verification: Full, Certificate: responder_cert
ProducedAt Time Skew: 300 s
Nonce Extension: Enabled
Client Cert Insertion: Enabled
Done
<!--NeedCopy-->
show certkey ca_cert
Name: ca_cert Status: Valid, Days to expiration:8907
Version: 3
…
1) VServer name: vs1 CA Certificate
1) OCSP Responder name: ocsp_responder1 Priority: 1
Done
<!--NeedCopy-->
sh ssl vs vs1
Advanced SSL configuration for VServer vs1:
DH: DISABLED
…
1) CertKey Name: ca_cert CA Certificate OCSPCheck: Mandatory
1) Cipher Name: DEFAULT
Description: Predefined Cipher Alias
Done
<!--NeedCopy-->
Modificar un respondedor de OCSP mediante la CLI
No puede modificar el nombre del respondedor. Todos los demás parámetros se pueden cambiar mediante el comando set ssl ocspResponder.
En el símbolo del sistema, escriba los siguientes comandos para establecer los parámetros y verificar la configuración:
set ssl ocspResponder <name> [-url <URL>] [-cache ( ENABLED | DISABLED)] [-cacheTimeout <positive_integer>] [-batchingDepth <positive_integer>] [-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [ -responderCert <string> | -trustResponder][-producedAtTimeSkew <positive_integer>][-signingCert <string>] [-useNonce ( YES | NO )]
unbind ssl certKey [<certkeyName>] [-ocspResponder <string>]
bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]
show ssl ocspResponder [<name>]
<!--NeedCopy-->
Configurar un respondedor OCSP mediante la interfaz gráfica de usuario
- Vaya a Administración del tráfico > SSL > Respondedor OCSPy configure un respondedor OCSP.
- Vaya a Administración del tráfico > SSL > Certificados, seleccione un certificado y, en la lista Acción, seleccione Enlaces de OCSP. Enlazar un respondedor OCSP.
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales, abra un servidor virtual y haga clic en la sección Certificados para vincular un certificado de CA.
- Si lo desea, seleccione OCSP obligatorio.