Listas de revocación de certificados

Last published : Oct 14, 2026
De vez en cuando, las Autoridades de Certificación (CA) emiten listas de revocación de certificados (CRL). Las CRL contienen información sobre certificados en los que ya no se puede confiar. Por ejemplo, supongamos que Ann deja XYZ Corporation. La empresa puede colocar el certificado de Ann en una CRL para evitar que firme mensajes con esa clave.
Del mismo modo, puede revocar un certificado si una clave privada se ve comprometida o si ese certificado ha caducado y se está utilizando uno nuevo. Antes de confiar en una clave pública, asegúrese de que el certificado no aparece en una CRL.
NetScaler Gateway admite los dos tipos de CRL siguientes:
  • CRL que enumeran los certificados revocados o que ya no son válidos
  • Protocolo de estado de certificados en línea (OSCP), un protocolo de Internet utilizado para obtener el estado de revocación de los certificados X.509
Para agregar una CRL:
Antes de configurar la CRL en el dispositivo NetScaler Gateway, asegúrese de que el archivo CRL esté almacenado localmente en el dispositivo. En el caso de una configuración de alta disponibilidad, el archivo CRL debe estar presente en ambos dispositivos NetScaler Gateway, y la ruta del directorio al archivo debe ser la misma en ambos dispositivos.
Si necesita actualizar la CRL, puede usar los siguientes parámetros:
  • Nombre de CRL: El nombre de la CRL que se agrega en NetScaler. Máximo 31 caracteres.
  • Archivo CRL: El nombre del archivo CRL que se agrega en NetScaler. NetScaler busca el archivo CRL en el directorio /var/netscaler/ssl de forma predeterminada. Máximo 63 caracteres.
  • URL: Máximo 127 caracteres
  • DN base: Máximo 127 caracteres
  • DN de enlace: Máximo 127 caracteres
  • Contraseña: Máximo 31 caracteres
  • Días: Máximo 31
  1. En la utilidad de configuración, en la pestaña Configuración, expanda SSL y, a continuación, haga clic en CRL.
  2. En el panel de detalles, haga clic en Agregar.
  3. En el cuadro de diálogo Agregar CRL, especifique los valores para lo siguiente:
    • Nombre de CRL
    • Archivo CRL
    • Formato (opcional)
    • Certificado de CA (opcional)
  4. Haga clic en Crear y, a continuación, haga clic en Cerrar. En el panel de detalles de CRL, seleccione la CRL que configuró y verificar que la configuración que aparece en la parte inferior de la pantalla es correcta.
Para configurar la actualización automática de CRL mediante LDAP o HTTP en la GUI:
Una CRL es generada y publicada por una CA periódicamente o, a veces, inmediatamente después de que se revoque un certificado en particular. Citrix recomienda que actualice las CRL en el dispositivo NetScaler Gateway regularmente para protegerse contra clientes que intentan conectarse con certificados no válidos.
El dispositivo NetScaler Gateway puede actualizar las CRL desde una ubicación web o un directorio LDAP. Cuando se especifican los parámetros de actualización y una ubicación web o un servidor LDAP, la CRL no tiene que estar presente en la unidad de disco duro local en el momento de ejecutar el comando. La primera actualización almacena una copia en la unidad de disco duro local, en la ruta especificada por el parámetro Archivo CRL. La ruta predeterminada para almacenar la CRL es /var/netscaler/ssl.
Related information
Administración de certificados en NetScaler Gateway
Administración de certificados en NetScaler Gateway

Parámetros de actualización de CRL

Nombre de CRL
El nombre de la CRL que se está actualizando en NetScaler Gateway.
Habilitar actualización automática de CRL
Habilitar o deshabilitar la actualización automática de CRL.
Certificado de CA
El certificado de la CA que ha emitido la CRL. Este certificado de CA debe estar instalado en el dispositivo. NetScaler solo puede actualizar las CRL de las CA cuyos certificados estén instalados en él.
Método
Protocolo en el que se obtiene la actualización de CRL de un servidor web (HTTP) o un servidor LDAP. Valores posibles: HTTP, LDAP. Predeterminado: HTTP.
Ámbito
El alcance de la operación de búsqueda en el servidor LDAP. Si el ámbito especificado es
Base, la búsqueda se realiza al mismo nivel que el DN base. Si el ámbito especificado es
Uno, la búsqueda se extiende a un nivel por debajo del DN base.
IP del servidor
La dirección IP del servidor LDAP desde el que se recupera la CRL. Seleccione IPv6 para usar una dirección IP IPv6.
Puerto
El número de puerto en el que se comunica el servidor LDAP o HTTP.
URL
La URL de la ubicación web desde la que se recupera la CRL.
DN base
El DN base utilizado por el servidor LDAP para buscar el atributo CRL.
Nota: Citrix® recomienda usar el atributo DN base en lugar del Nombre del emisor (Issuer-Name) del certificado de CA para buscar la CRL en el servidor LDAP. Es posible que el campo Nombre del emisor (Issuer-Name) no coincida exactamente con el DN de la estructura del directorio LDAP.
DN de enlace
El atributo DN de enlace se utiliza para acceder al objeto CRL en el repositorio LDAP. Los atributos DN de enlace son las credenciales de administrador para el servidor LDAP. Configure este parámetro para restringir el acceso no autorizado a los servidores LDAP.
Contraseña
La contraseña de administrador utilizada para acceder al objeto CRL en el repositorio LDAP. La contraseña es necesaria si el acceso al repositorio LDAP está restringido, es decir, si no se permite el acceso anónimo.
Intervalo
El intervalo en el que se debe realizar la actualización de la CRL. Para una actualización instantánea de la CRL, especifique el intervalo como NOW. Valores posibles: MONTHLY, DAILY, WEEKLY, NOW, NONE.
Días
El día en que se debe realizar la actualización de la CRL. La opción no está disponible si el intervalo se establece en DAILY.
Hora
La hora exacta en formato de 24 horas en que se debe realizar la actualización de la CRL.
Binario
Establezca el modo de recuperación de CRL basado en LDAP en binario. Valores posibles: YES, NO. Predeterminado: NO.
  1. En el panel de navegación, expanda SSL y, a continuación, haga clic en CRL.
  2. Seleccione la CRL configurada para la que desea actualizar los parámetros de actualización y, a continuación, haga clic en Abrir.
  3. Seleccione la opción Habilitar actualización automática de CRL.
  4. En el grupo Parámetros de actualización automática de CRL, especifique los valores para los siguientes parámetros: Nota: Un asterisco (*) indica un parámetro obligatorio.
    • Método
    • Binario
    • Ámbito
    • IP del servidor
    • Puerto*
    • URL
    • DN base*
    • DN de enlace
    • Contraseña
    • Intervalo
    • Días
    • Hora
  5. Haga clic en Crear. En el panel CRL, seleccione la CRL que configuró y verificar que la configuración que aparece en la parte inferior de la pantalla es correcta.

Supervisar el estado del certificado con OCSP

El Protocolo de estado de certificado en línea (OCSP) es un protocolo de Internet que se utiliza para determinar el estado de un certificado SSL de cliente. NetScaler Gateway admite OCSP tal como se define en RFC 2560. OCSP ofrece ventajas significativas sobre las listas de revocación de certificados (CRL) en términos de información oportuna. El estado de revocación actualizado de un certificado de cliente es especialmente útil en transacciones que implican grandes sumas de dinero y operaciones bursátiles de alto valor. También utiliza menos recursos del sistema y de la red. La implementación de OCSP de NetScaler Gateway incluye el procesamiento por lotes de solicitudes y el almacenamiento en caché de respuestas.

Implementación de OCSP en NetScaler Gateway

La validación de OCSP en un dispositivo NetScaler Gateway comienza cuando NetScaler Gateway recibe un certificado de cliente durante un protocolo de enlace SSL. Para validar el certificado, NetScaler Gateway crea una solicitud OCSP y la reenvía al respondedor OCSP. Para ello, NetScaler Gateway extrae la URL del respondedor OCSP del certificado de cliente o utiliza una URL configurada localmente. La transacción permanece en estado suspendido hasta que NetScaler Gateway evalúa la respuesta del servidor y determina si permite o rechaza la transacción. Si la respuesta del servidor se retrasa más allá del tiempo configurado y no hay otros respondedores configurados, NetScaler Gateway permite la transacción o muestra un error, según si la comprobación OCSP se configuró como opcional u obligatoria. NetScaler Gateway admite el procesamiento por lotes de solicitudes OCSP y el almacenamiento en caché de respuestas OCSP para reducir la carga en el respondedor OCSP y proporcionar respuestas más rápidas.

Procesamiento por lotes de solicitudes OCSP

Cada vez que NetScaler Gateway recibe un certificado de cliente, envía una solicitud al respondedor OCSP. Para ayudar a evitar la sobrecarga del respondedor OCSP, NetScaler Gateway puede consultar el estado de más de un certificado de cliente en la misma solicitud. Para que el procesamiento por lotes de solicitudes funcione de manera eficiente, debe definir un tiempo de espera para que el procesamiento de un solo certificado no se retrase mientras se espera para formar un lote.

Almacenamiento en caché de respuestas OCSP

El almacenamiento en caché de las respuestas recibidas del respondedor OCSP permite respuestas más rápidas al usuario y reduce la carga en el respondedor OCSP. Al recibir el estado de revocación de un certificado de cliente del respondedor OCSP, NetScaler Gateway almacena la respuesta en caché localmente durante un período de tiempo predefinido. Cuando se recibe un certificado de cliente durante un protocolo de enlace SSL, NetScaler Gateway primero comprueba su caché local para ver si hay una entrada para este certificado. Si se encuentra una entrada que sigue siendo válida (dentro del límite de tiempo de espera de la caché), se evalúa la entrada y se acepta o rechaza el certificado de cliente. Si no se encuentra un certificado, NetScaler Gateway envía una solicitud al respondedor OCSP y almacena la respuesta en su caché local durante un período de tiempo configurado.

Configurar el estado del certificado OCSP

La configuración de un Protocolo de estado de certificado en línea (OCSP) implica agregar un respondedor OCSP, vincular el respondedor OCSP a un certificado firmado de una Autoridad de certificación (CA) y vincular el certificado y la clave privada a un servidor virtual Secure Sockets Layer (SSL). Si necesita vincular un certificado y una clave privada diferentes a un respondedor OCSP que ya configuró, primero debe desvincular el respondedor y luego vincularlo a un certificado diferente.

Para configurar OCSP

  1. En la ficha Configuración, en el panel de navegación, expanda SSL y, a continuación, haga clic en Respondedor OCSP.
  2. En el panel de detalles, haga clic en Agregar.
  3. En Nombre, escriba un nombre para el perfil.
  4. En URL, escriba la dirección web del respondedor OCSP.
    Este campo es obligatorio. La dirección web no puede exceder los 32 caracteres.
  5. Para almacenar en caché las respuestas OCSP, haga clic en Cache y en Tiempo de espera, escriba el número de minutos que NetScaler Gateway retiene la respuesta.
  6. En Agrupación de solicitudes, haga clic en Habilitar.
  7. En Retraso de agrupación, especifique el tiempo, en milisegundos, permitido para agrupar un conjunto de solicitudes OCSP.
    Los valores pueden ser de 0 a 10000. El valor predeterminado es 1.
  8. En Desviación de tiempo de producción, escriba la cantidad de tiempo que NetScaler Gateway puede usar cuando el dispositivo debe comprobar o aceptar la respuesta.
  9. En Verificación de respuesta, seleccione Confiar en respuestas si desea inhabilitar las comprobaciones de firma por parte del respondedor OCSP.
    Si habilita Confiar en respuestas, omita el Paso 8 y el Paso 9.
  10. En Certificado, seleccione el certificado que se utiliza para firmar las respuestas OCSP.
    Si no se selecciona un certificado, la CA a la que está vinculado el respondedor OCSP se utiliza para verificar las respuestas.
  11. En Tiempo de espera de solicitud, escriba el número de milisegundos que se debe esperar para una respuesta OCSP.
    Este tiempo incluye el tiempo de Retraso de agrupación. Los valores pueden ser de 0 a 120000. El valor predeterminado es 2000.
  12. En Certificado de firma, seleccione el certificado y la clave privada utilizados para firmar las solicitudes OCSP. Si no especifica un certificado y una clave privada, las solicitudes no se firman.
  13. Para habilitar el número de un solo uso (nonce) extension, seleccione Nonce.
  14. Para usar un certificado de cliente, haga clic en Inserción de certificado de cliente.
  15. Haga clic en Crear y luego haga clic en Cerrar.