Supervisar el estado del certificado con OCSP
Protocolo de estado de certificados en línea (OCSP) es un protocolo de Internet que se utiliza para determinar el estado de un certificado SSL de cliente. Los dispositivos Citrix ADC admiten OCSP tal como se define en RFC 2560. OCSP ofrece ventajas significativas sobre las listas de revocación de certificados (CRL) en términos de información oportuna. El estado actualizado de revocación de un certificado de cliente es especialmente útil en transacciones que implican grandes sumas de dinero y operaciones bursátiles de alto valor. También utiliza menos recursos del sistema y de la red. La implementación de Citrix ADC de OCSP incluye el procesamiento por lotes de solicitudes y el almacenamiento en caché de respuestas.
Implementación de OCSP
La validación de OCSP en un dispositivo Citrix ADC comienza cuando el dispositivo recibe un certificado de cliente durante un protocolo de enlace SSL. Para validar el certificado, el dispositivo crea una solicitud OCSP y la reenvía al respondedor OCSP. Para ello, el dispositivo utiliza una dirección URL configurada localmente. La transacción se encuentra en un estado suspendido hasta que el dispositivo evalúa la respuesta del servidor y determina si quiere permitir la transacción o rechazarla. Si la respuesta del servidor se retrasa más allá del tiempo configurado y no hay otros respondedores configurados, el dispositivo permite la transacción o muestra un error, dependiendo de si la comprobación OCSP se ha establecido como opcional u obligatoria, respectivamente.
El dispositivo admite el procesamiento por lotes de solicitudes de OCSP y el almacenamiento en caché de las respuestas de OCSP para reducir la carga en el respondedor de OCSP y proporcionar respuestas más rápidas.
lotes de solicitudes OCSP
Cada vez que el dispositivo recibe un certificado de cliente, envía una solicitud al respondedor de OCSP. Para evitar sobrecargar el respondedor OCSP, el dispositivo puede consultar el estado de más de un certificado de cliente en la misma solicitud. Para que esta función funcione de manera eficiente, es necesario definir un tiempo de espera para que el procesamiento de un único certificado no se retrase excesivamente mientras se espera formar un lote.
Almacenamiento en caché de respuesta de OCSP
El almacenamiento en caché de las respuestas recibidas del respondedor de OCSP permite respuestas más rápidas a los clientes y reduce la carga en el respondedor de OCSP. Al recibir el estado de revocación de un certificado de cliente del respondedor de OCSP, el dispositivo almacena en caché la respuesta localmente durante un período de tiempo predefinido. Cuando se recibe un certificado de cliente durante un protocolo de enlace SSL, el dispositivo comprueba primero su caché local en busca de una entrada para este certificado. Si se encuentra una entrada que sigue siendo válida (dentro del límite de tiempo de espera de caché), se evalúa y se acepta o rechaza el certificado de cliente. Si no se encuentra un certificado, el dispositivo envía una solicitud al respondedor OCSP y almacena la respuesta en su caché local durante un período de tiempo configurado.
Nota: A partir de la versión 12.1 compilación 49.x, el límite de tiempo de espera de caché ahora se incrementa a un máximo de 43200 minutos (30 días). Anteriormente, el límite era 1440 minutos (un día). El límite aumentado ayuda a reducir las búsquedas en el servidor OCSP y evitar cualquier error de conexión SSL/TLS en caso de que el servidor OCSP no sea accesible debido a problemas de red u otros.
Configuración del respondedor OCSP
La configuración de OCSP implica agregar un respondedor OCSP, enlazar el respondedor OCSP a un certificado de entidad emisora de certificados (CA) y enlazar el certificado a un servidor virtual SSL. Si necesita enlazar un certificado diferente a un respondedor OCSP que ya se ha configurado, primero debe desenlazar el respondedor y, a continuación, enlazar el respondedor a un certificado diferente.
Agregar un respondedor OCSP mediante la CLI
En el símbolo del sistema, escriba los siguientes comandos para configurar OCSP y verificar la configuración:
add ssl ocspResponder <name> -url <URL> [-cache ( ENABLED | DISABLED )[-cacheTimeout <positive_integer>]] [ -batchingDepth <positive_integer>][-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [-responderCert <string> | -trustResponder] [-producedAtTimeSkew <positive_integer>][-signingCert <string>][-useNonce ( YES | NO )][ -insertClientCert( YES | NO )]
<!--NeedCopy-->
bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]
<!--NeedCopy-->
bind ssl vserver <vServerName>@ (-certkeyName <string> ( CA [-ocspCheck ( Mandatory | Optional )]))
<!--NeedCopy-->
show ssl ocspResponder [<name>]
<!--NeedCopy-->
Ejemplo:
add ssl ocspResponder ocsp_responder1 -url "http:// www.myCA.org:80/ocsp/" -cache ENABLED -cacheTimeout 30 -batchingDepth 8 -batchingDelay 100 -resptimeout 100 -responderCert responder_cert -producedAtTimeSkew 300 -signingCert sign_cert -insertClientCert YES
<!--NeedCopy-->
bind ssl certKey ca_cert -ocspResponder ocsp_responder1 -priority 1
<!--NeedCopy-->
bind ssl vserver vs1 -certkeyName ca_cert -CA -ocspCheck Mandatory
<!--NeedCopy-->
sh ocspResponder ocsp_responder1
1)Name: ocsp_responder1
URL: http://www.myCA.org:80/ocsp/, IP: 192.128.22.22
Caching: Enabled Timeout: 30 minutes
Batching: 8 Timeout: 100 mS
HTTP Request Timeout: 100mS
Request Signing Certificate: sign_cert
Response Verification: Full, Certificate: responder_cert
ProducedAt Time Skew: 300 s
Nonce Extension: Enabled
Client Cert Insertion: Enabled
Done
<!--NeedCopy-->
show certkey ca_cert
Name: ca_cert Status: Valid, Days to expiration:8907
Version: 3
…
1) VServer name: vs1 CA Certificate
1) OCSP Responder name: ocsp_responder1 Priority: 1
Done
<!--NeedCopy-->
sh ssl vs vs1
Advanced SSL configuration for VServer vs1:
DH: DISABLED
…
1) CertKey Name: ca_cert CA Certificate OCSPCheck: Mandatory
1) Cipher Name: DEFAULT
Description: Predefined Cipher Alias
Done
<!--NeedCopy-->
Modificar un respondedor OCSP mediante la CLI
No se puede modificar el nombre del respondedor. Todos los demás parámetros se pueden cambiar mediante el set ssl ocspResponder comando.
En el símbolo del sistema, escriba los siguientes comandos para establecer los parámetros y verificar la configuración:
set ssl ocspResponder <name> [-url <URL>] [-cache ( ENABLED | DISABLED)] [-cacheTimeout <positive_integer>] [-batchingDepth <positive_integer>] [-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [ -responderCert <string> | -trustResponder][-producedAtTimeSkew <positive_integer>][-signingCert <string>] [-useNonce ( YES | NO )]
unbind ssl certKey [<certkeyName>] [-ocspResponder <string>]
bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]
show ssl ocspResponder [<name>]
<!--NeedCopy-->
Configurar un respondedor OCSP mediante la interfaz gráfica de usuario
- Vaya a Administración de tráfico > SSL > Respondedor de OCSP y configure un respondedor de OCSP.
- Vaya a Administración del tráfico > SSL > Certificados, seleccione un certificado y, en la lista Acción, seleccione Enlaces de OCSP. Enlazar un respondedor OCSP.
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales, abra un servidor virtual y haga clic en la sección Certificados para enlazar un certificado de CA.
- Si lo quiere, seleccione Obligatorio OCSP.