ADC

Supervisar el estado del certificado con OCSP

El Protocolo de estado de certificados en línea (OCSP) es un protocolo de Internet que se utiliza para determinar el estado de un certificado SSL de cliente. Los dispositivos NetScaler admiten OCSP tal como se define en RFC 2560. OCSP ofrece ventajas significativas sobre las listas de revocación de certificados (CRL) en términos de información oportuna. El estado de revocación actualizado de un certificado de cliente es especialmente útil en transacciones que implican grandes sumas de dinero y operaciones bursátiles de alto valor. También utiliza menos recursos del sistema y de la red. La implementación de OCSP por NetScaler incluye el procesamiento por lotes de solicitudes y el almacenamiento en caché de respuestas.

Implementación de OCSP

La validación de OCSP en un dispositivo NetScaler comienza cuando el dispositivo recibe un certificado de cliente durante un protocolo de enlace SSL. Para validar el certificado, el dispositivo crea una solicitud de OCSP y la reenvía al respondedor de OCSP. Para ello, el dispositivo utiliza una URL configurada localmente. La transacción se encuentra suspendida hasta que el dispositivo evalúe la respuesta del servidor y determine si permite la transacción o la rechaza. Si la respuesta del servidor se retrasa más allá del tiempo configurado y no hay otros respondedores configurados, el dispositivo permite la transacción o muestra un error, según si la comprobación del OCSP se estableció como opcional u obligatoria, respectivamente.

El dispositivo admite el procesamiento por lotes de solicitudes de OCSP y el almacenamiento en caché de las respuestas de OCSP para reducir la carga del respondedor de OCSP y proporcionar respuestas más rápidas.

procesamiento por lotes de solicitudes de OCSP

Cada vez que el dispositivo recibe un certificado de cliente, envía una solicitud al respondedor de OCSP. Para evitar sobrecargar el respondedor de OCSP, el dispositivo puede consultar el estado de más de un certificado de cliente en la misma solicitud. Para que esta función funcione de manera eficiente, es necesario definir un tiempo de espera para que el procesamiento de un solo certificado no se retrase excesivamente mientras se espera la formación de un lote.

Almacenamiento en caché de respuestas OCSP

El almacenamiento en caché de las respuestas recibidas del respondedor de OCSP permite respuestas más rápidas a los clientes y reduce la carga del respondedor de OCSP. Al recibir el estado de revocación de un certificado de cliente del respondedor de OCSP, el dispositivo almacena la respuesta en caché localmente durante un período de tiempo predefinido. Cuando se recibe un certificado de cliente durante un protocolo de enlace SSL, el dispositivo comprueba primero su caché local para ver si hay una entrada para este certificado. Si se encuentra una entrada que sigue siendo válida (dentro del límite de tiempo de espera de la memoria caché), se evalúa y se acepta o rechaza el certificado del cliente. Si no se encuentra ningún certificado, el dispositivo envía una solicitud al respondedor de OCSP y almacena la respuesta en su memoria caché local durante un período de tiempo configurado.

Nota: El límite de tiempo de espera de la memoria caché se puede establecer en un máximo de 43200 minutos (30 días). En la versión 12.1, compilación 49.x y anteriores, el límite era de 1440 minutos (un día). El aumento del límite ayuda a reducir las búsquedas en el servidor OCSP y a evitar cualquier error de conexión SSL/TLS en caso de que no se pueda acceder al servidor OCSP debido a problemas de red o de otro tipo.

Configuración del respondedor OCSP

La configuración de OCSP implica agregar un respondedor de OCSP, vincular el respondedor de OCSP a un certificado de autoridad certificadora (CA) y vincular el certificado a un servidor virtual SSL. Si necesita vincular un certificado diferente a un respondedor de OCSP que ya se ha configurado, primero debe desvincular el respondedor y, a continuación, vincular el respondedor a un certificado diferente.

Agregue un respondedor de OCSP mediante la CLI

En el símbolo del sistema, escriba los siguientes comandos para configurar OCSP y verificar la configuración:

add ssl ocspResponder <name> -url <URL> [-cache ( ENABLED | DISABLED )[-cacheTimeout <positive_integer>]] [ -batchingDepth <positive_integer>][-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [-responderCert <string> | -trustResponder] [-producedAtTimeSkew <positive_integer>][-signingCert <string>][-useNonce ( YES | NO )][ -insertClientCert( YES | NO )]
<!--NeedCopy-->
bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]
<!--NeedCopy-->
bind ssl vserver <vServerName>@ (-certkeyName <string> ( CA [-ocspCheck ( Mandatory | Optional )]))
<!--NeedCopy-->
show ssl ocspResponder [<name>]
<!--NeedCopy-->

Ejemplo:

add ssl ocspResponder ocsp_responder1 -url "http:// www.myCA.org:80/ocsp/" -cache ENABLED -cacheTimeout 30 -batchingDepth 8 -batchingDelay 100 -resptimeout 100 -responderCert responder_cert -producedAtTimeSkew 300 -signingCert sign_cert  -insertClientCert YES
<!--NeedCopy-->
bind ssl certKey ca_cert -ocspResponder ocsp_responder1 -priority 1
<!--NeedCopy-->
bind ssl vserver vs1 -certkeyName ca_cert -CA -ocspCheck Mandatory
<!--NeedCopy-->
sh ocspResponder ocsp_responder1

    1)Name: ocsp_responder1
    URL: http://www.myCA.org:80/ocsp/, IP: 192.128.22.22
    Caching: Enabled        Timeout: 30 minutes
    Batching: 8 Timeout: 100 mS
    HTTP Request Timeout: 100mS
    Request Signing Certificate: sign_cert
    Response Verification: Full, Certificate: responder_cert
    ProducedAt Time Skew: 300 s
    Nonce Extension: Enabled
     Client Cert Insertion: Enabled
    Done
<!--NeedCopy-->
show certkey ca_cert

    Name: ca_cert     Status: Valid,   Days to expiration:8907
    Version: 3
    …

    1)  VServer name: vs1      CA Certificate
    1)  OCSP Responder name: ocsp_responder1     Priority: 1
Done
<!--NeedCopy-->
sh ssl vs vs1

    Advanced SSL configuration for VServer vs1:
    DH: DISABLED
    …

    1) CertKey Name: ca_cert CA Certificate OCSPCheck: Mandatory
    1) Cipher Name: DEFAULT
      Description: Predefined Cipher Alias
    Done
<!--NeedCopy-->

Modificar un respondedor de OCSP mediante la CLI

No puede modificar el nombre del respondedor. Todos los demás parámetros se pueden cambiar mediante el comando set ssl ocspResponder.

En el símbolo del sistema, escriba los siguientes comandos para establecer los parámetros y verificar la configuración:

set ssl ocspResponder <name> [-url <URL>] [-cache ( ENABLED | DISABLED)] [-cacheTimeout <positive_integer>] [-batchingDepth <positive_integer>] [-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [ -responderCert <string> | -trustResponder][-producedAtTimeSkew <positive_integer>][-signingCert <string>] [-useNonce ( YES | NO )]

unbind ssl certKey [<certkeyName>] [-ocspResponder <string>]

bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]

show ssl ocspResponder [<name>]
<!--NeedCopy-->

Configurar un respondedor OCSP mediante la interfaz gráfica de usuario

  1. Vaya a Administración del tráfico > SSL > Respondedor OCSPy configure un respondedor OCSP.
  2. Vaya a Administración del tráfico > SSL > Certificados, seleccione un certificado y, en la lista Acción, seleccione Enlaces de OCSP. Enlazar un respondedor OCSP.
  3. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales, abra un servidor virtual y haga clic en la sección Certificados para vincular un certificado de CA.
  4. Si lo desea, seleccione OCSP obligatorio.
Supervisar el estado del certificado con OCSP