Citrix ADC

Supervisar el estado del certificado con OCSP

February 16, 2021

Contribuido por:

Protocolo de estado de certificados en línea (OCSP) es un protocolo de Internet que se utiliza para determinar el estado de un certificado SSL de cliente. Los dispositivos Citrix ADC admiten OCSP tal como se define en RFC 2560. OCSP ofrece ventajas significativas sobre las listas de revocación de certificados (CRL) en términos de información oportuna. El estado actualizado de revocación de un certificado de cliente es especialmente útil en transacciones que implican grandes sumas de dinero y operaciones bursátiles de alto valor. También utiliza menos recursos del sistema y de la red. La implementación de Citrix ADC de OCSP incluye el procesamiento por lotes de solicitudes y el almacenamiento en caché de respuestas.

Implementación de OCSP

La validación de OCSP en un dispositivo Citrix ADC comienza cuando el dispositivo recibe un certificado de cliente durante un protocolo de enlace SSL. Para validar el certificado, el dispositivo crea una solicitud OCSP y la reenvía al respondedor OCSP. Para ello, el dispositivo utiliza una dirección URL configurada localmente. La transacción se encuentra en un estado suspendido hasta que el dispositivo evalúa la respuesta del servidor y determina si quiere permitir la transacción o rechazarla. Si la respuesta del servidor se retrasa más allá del tiempo configurado y no hay otros respondedores configurados, el dispositivo permite la transacción o muestra un error, dependiendo de si la comprobación OCSP se ha establecido como opcional u obligatoria, respectivamente.

El dispositivo admite el procesamiento por lotes de solicitudes de OCSP y el almacenamiento en caché de las respuestas de OCSP para reducir la carga en el respondedor de OCSP y proporcionar respuestas más rápidas.

lotes de solicitudes OCSP

Cada vez que el dispositivo recibe un certificado de cliente, envía una solicitud al respondedor de OCSP. Para evitar sobrecargar el respondedor OCSP, el dispositivo puede consultar el estado de más de un certificado de cliente en la misma solicitud. Para que esta función funcione de manera eficiente, es necesario definir un tiempo de espera para que el procesamiento de un único certificado no se retrase excesivamente mientras se espera formar un lote.

Almacenamiento en caché de respuesta de OCSP

El almacenamiento en caché de las respuestas recibidas del respondedor de OCSP permite respuestas más rápidas a los clientes y reduce la carga en el respondedor de OCSP. Al recibir el estado de revocación de un certificado de cliente del respondedor de OCSP, el dispositivo almacena en caché la respuesta localmente durante un período de tiempo predefinido. Cuando se recibe un certificado de cliente durante un protocolo de enlace SSL, el dispositivo comprueba primero su caché local en busca de una entrada para este certificado. Si se encuentra una entrada que sigue siendo válida (dentro del límite de tiempo de espera de caché), se evalúa y se acepta o rechaza el certificado de cliente. Si no se encuentra un certificado, el dispositivo envía una solicitud al respondedor OCSP y almacena la respuesta en su caché local durante un período de tiempo configurado.

Nota: A partir de la versión 12.1 compilación 49.x, el límite de tiempo de espera de caché ahora se incrementa a un máximo de 43200 minutos (30 días). Anteriormente, el límite era 1440 minutos (un día). El límite aumentado ayuda a reducir las búsquedas en el servidor OCSP y evitar cualquier error de conexión SSL/TLS en caso de que el servidor OCSP no sea accesible debido a problemas de red u otros.

Configuración del respondedor OCSP

La configuración de OCSP implica agregar un respondedor OCSP, enlazar el respondedor OCSP a un certificado de entidad emisora de certificados (CA) y enlazar el certificado a un servidor virtual SSL. Si necesita enlazar un certificado diferente a un respondedor OCSP que ya se ha configurado, primero debe desenlazar el respondedor y, a continuación, enlazar el respondedor a un certificado diferente.

Agregar un respondedor OCSP mediante la CLI

En el símbolo del sistema, escriba los siguientes comandos para configurar OCSP y verificar la configuración:

add ssl ocspResponder <name> -url <URL> [-cache ( ENABLED | DISABLED )[-cacheTimeout <positive_integer>]] [ -batchingDepth <positive_integer>][-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [-responderCert <string> | -trustResponder] [-producedAtTimeSkew <positive_integer>][-signingCert <string>][-useNonce ( YES | NO )][ -insertClientCert( YES | NO )]

bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]

bind ssl vserver <vServerName>@ (-certkeyName <string> ( CA [-ocspCheck ( Mandatory | Optional )]))

show ssl ocspResponder [<name>]

Ejemplo:

add ssl ocspResponder ocsp_responder1 -url "http:// www.myCA.org:80/ocsp/" -cache ENABLED -cacheTimeout 30 -batchingDepth 8 -batchingDelay 100 -resptimeout 100 -responderCert responder_cert -producedAtTimeSkew 300 -signingCert sign_cert  -insertClientCert YES

bind ssl certKey ca_cert -ocspResponder ocsp_responder1 -priority 1

bind ssl vserver vs1 -certkeyName ca_cert -CA -ocspCheck Mandatory

sh ocspResponder ocsp_responder1

    1)Name: ocsp_responder1
    URL: http://www.myCA.org:80/ocsp/, IP: 192.128.22.22
    Caching: Enabled        Timeout: 30 minutes
    Batching: 8 Timeout: 100 mS
    HTTP Request Timeout: 100mS
    Request Signing Certificate: sign_cert
    Response Verification: Full, Certificate: responder_cert
    ProducedAt Time Skew: 300 s
    Nonce Extension: Enabled
     Client Cert Insertion: Enabled
    Done

show certkey ca_cert

    Name: ca_cert     Status: Valid,   Days to expiration:8907
    Version: 3
    …

    1)  VServer name: vs1      CA Certificate
    1)  OCSP Responder name: ocsp_responder1     Priority: 1
Done

sh ssl vs vs1

    Advanced SSL configuration for VServer vs1:
    DH: DISABLED
    …

    1) CertKey Name: ca_cert CA Certificate OCSPCheck: Mandatory
    1) Cipher Name: DEFAULT
      Description: Predefined Cipher Alias
    Done

Modificar un respondedor OCSP mediante la CLI

No se puede modificar el nombre del respondedor. Todos los demás parámetros se pueden cambiar mediante el set ssl ocspResponder comando.

En el símbolo del sistema, escriba los siguientes comandos para establecer los parámetros y verificar la configuración:

set ssl ocspResponder <name> [-url <URL>] [-cache ( ENABLED | DISABLED)] [-cacheTimeout <positive_integer>] [-batchingDepth <positive_integer>] [-batchingDelay <positive_integer>] [-resptimeout <positive_integer>] [ -responderCert <string> | -trustResponder][-producedAtTimeSkew <positive_integer>][-signingCert <string>] [-useNonce ( YES | NO )]

unbind ssl certKey [<certkeyName>] [-ocspResponder <string>]

bind ssl certKey [<certkeyName>] [-ocspResponder <string>] [-priority <positive_integer>]

show ssl ocspResponder [<name>]

Configurar un respondedor OCSP mediante la interfaz gráfica de usuario

Vaya a Administración de tráfico > SSL > Respondedor de OCSP y configure un respondedor de OCSP.
Vaya a Administración del tráfico > SSL > Certificados, seleccione un certificado y, en la lista Acción, seleccione Enlaces de OCSP. Enlazar un respondedor OCSP.
Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales, abra un servidor virtual y haga clic en la sección Certificados para enlazar un certificado de CA.
Si lo quiere, seleccione Obligatorio OCSP.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Citrix solo tiene traducción automática. Citrix no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Citrix se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Citrix, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Citrix no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Supervisar el estado del certificado con OCSP

February 16, 2021

Contribuido por:

February 16, 2021

Contribuido por:

En este artículo

Implementación de OCSP
lotes de solicitudes OCSP
Almacenamiento en caché de respuesta de OCSP
Configuración del respondedor OCSP