Microsoft Windows 2012和OpenSSL下带OCSP验证的ASA远程访问VPN

下载选项

  • PDF     (2.8 MB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (2.0 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (1.9 MB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2013 年 11 月 6 日
文档 ID:116720

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何在思科自适应安全设备(ASA)上对VPN用户提供的证书使用在线证书状态协议(OCSP)验证。提供了两个OCSP服务器（Microsoft Windows Certificate Authority [CA]和OpenSSL）的配置示例。“验证”部分描述数据包级别的详细流程，“故障排除”部分重点介绍典型错误和问题。

先决条件

要求

Cisco 建议您了解以下主题：

  • 思科自适应安全设备命令行界面(CLI)配置和安全套接字层(SSL)VPN配置
  • X.509证书
  • Microsoft Windows Server
  • Linux/OpenSSL

使用的组件

本文档中的信息基于以下软件和硬件版本：

  • 思科自适应安全设备软件8.4版及更高版本
  • 带Cisco AnyConnect安全移动客户端的Microsoft Windows 7，版本3.1
  • Microsoft Server 2012 R2
  • 使用OpenSSL 1.0.0j或更高版本的Linux

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

注意：要获取有关本部分中所使用命令的更多信息，可使用命令查找工具（仅限已注册客户）。

网络图

客户端使用远程访问VPN。此访问可以是Cisco VPN Client(IPSec)、Cisco AnyConnect Secure Mobility(SSL/Internet Key Exchange Version 2 [IKEv2])或WebVPN（门户）。为了登录，客户端提供正确的证书，以及在ASA上本地配置的用户名/密码。客户端证书通过OCSP服务器进行验证。

116720-config-asa-ocsp-01.jpg

带OCSP的ASA远程访问

为SSL访问配置了ASA。客户端使用AnyConnect登录。ASA使用简单证书注册协议(SCEP)请求证书：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.147.25.80:80/certsrv/mscep/mscep.dll

crypto ca certificate map MAP 10
 subject-name co administrator

创建证书映射以标识其主题名称包含单词administrator（不区分大小写）的所有用户。这些用户已绑定到名为RA的隧道组：

webvpn
 enable outside
 anyconnect image disk0:/anyconnect-win-3.1.02040-k9.pkg 1
 anyconnect enable
 tunnel-group-list enable
 certificate-group-map MAP 10 RA

VPN配置需要成功的授权（即经过验证的证书）。它还要求本地定义的用户名(authentication aaa)具有正确的凭证：

username cisco password xxxxxxx
ip local pool POOL 192.168.11.100-192.168.11.105 mask 255.255.255.0

aaa authentication LOCAL
aaa authorization LOCAL

group-policy MY internal
group-policy MY attributes
 vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless

tunnel-group RA type remote-access
tunnel-group RA general-attributes
 address-pool POOL
 default-group-policy MY
 authorization-required
tunnel-group RA webvpn-attributes
 authentication aaa certificate
 group-alias RA enable

Microsoft Windows 2012 CA

注意：有关通过CLI配置ASA的详细信息，请参阅使用CLI、8.4和8.6配置外部服务器以进行安全设备用户授权的思科ASA 5500系列配置指南。 

服务安装

此过程介绍如何为Microsoft服务器配置角色服务：

    1. 导航到Server Manager > Manage > Add Roles and Features。Microsoft服务器需要以下角色服务：

        • 证书颁发机构
        • 客户端使用的证书颁发机构Web注册
        • Online Responder，OCSP需要
        • 网络设备注册服务，包含ASA使用的SCEP应用

       如果需要，可以添加带策略的Web服务。

      116720-config-asa-ocsp-02.png

      2. 无法同时添加所有角色；例如，必须稍后添加网络设备注册服务(NDES)。

    2. 添加功能时，请务必包括Online Responder Tools，因为它包含稍后使用的OCSP管理单元：

      116720-config-asa-ocsp-03.png

OCSP模板的CA配置

OCSP服务使用证书对OCSP响应进行签名。必须在Microsoft服务器上生成特殊证书，并且必须包括：

  • 扩展密钥使用= OCSP签名
  • OCSP无撤销检查

需要此证书以防止OCSP验证循环。ASA不使用OCSP服务尝试检查OCSP服务提供的证书。

  1. 在CA上为证书添加模板。导航到CA > Certificate Template > Manage，选择OCSP Response Signing，然后复制模板。查看新创建的模板的属性，然后单击Security选项卡。权限描述允许哪个实体请求使用该模板的证书，因此需要正确的权限。在本示例中，实体是在同一主机(TEST-CISCO\DC)上运行的OCSP服务，并且OCSP服务需要自动注册权限：

    116720-config-asa-ocsp-04.png

    模板的所有其他设置都可以设置为默认值。

  2. 激活模板。导航到CA > Certificate Template > New > Certificate Template to Issue，然后选择复制模板：

    116720-config-asa-ocsp-05.png

OCSP服务证书

以下过程介绍如何使用在线配置管理来配置OCSP:

  1. 导航到服务器管理器 > 工具。

  2. 导航到撤销配置 > 添加撤销配置以添加新配置：

    116720-config-asa-ocsp-06.png

    OCSP可以使用相同的企业CA。生成OCSP服务的证书。

  3. 使用选定的企业CA，并选择之前创建的模板。自动注册证书：

    116720-config-asa-ocsp-07.png

  4. 确认证书已注册，其状态为Working/OK:

    116720-config-asa-ocsp-08.png

    116720-config-asa-ocsp-09.png

  5. 导航到CA > Issued Certificates以验证证书详细信息：

    116720-config-asa-ocsp-10.png

OCSP服务非计数

OCSP的Microsoft实施符合RFC 5019 The Lightweight Online Certificate Status Protocol(OCSP)Profile for High-Volume Environments(适用于大容量环境的轻型在线证书状态协议(OCSP)配置文件)，这是RFC 2560 X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP的简化版本。

ASA对OCSP使用RFC 2560。这两个RFC的区别之一是RFC 5019不接受ASA发送的签名请求。

可以强制Microsoft OCSP服务接受这些已签名的请求并使用正确的已签名的响应进行回复。导航到Revocation Configuration > RevocationConfiguration1 > Edit Properties，然后选择Enable NONCE extension support的选项。

116720-config-asa-ocsp-11.png

OCSP服务现在可以使用。

虽然Cisco不建议这样做，但是可以在ASA上禁用nonce:

BSNS-ASA5510-3(config-ca-trustpoint)# ocsp disable-nonce

OCSP扩展的CA配置

现在必须重新配置CA，以便将OCSP服务器扩展包含在所有已颁发的证书中。ASA使用该扩展名中的URL以在验证证书时连接到OCSP服务器。

  1. 在CA上打开服务器的“属性”对话框。

  2. 单击Extensions选项卡。需要指向OCSP服务的授权信息访问(AIA)扩展；在本例中，它是http://10.61.208.243/ocsp。为AIA扩展启用以下两个选项：

    • 包括在已颁发证书的AIA扩展中
    • 包括在在线证书状态协议(OCSP)扩展中

    116720-config-asa-ocsp-12.png

    这可确保所有已颁发的证书具有指向OCSP服务的正确分机。

OpenSSL

注意：有关通过CLI配置ASA的详细信息，请参阅使用CLI、8.4和8.6配置外部服务器以进行安全设备用户授权的思科ASA 5500系列配置指南。 

本示例假设已配置OpenSSL服务器。本节仅介绍OCSP配置和CA配置所需的更改。

此过程介绍如何生成OCSP证书：

  1. OCSP响应器需要以下参数：

    [ OCSPresponder ]
    basicConstraints = CA:FALSE
    keyUsage = nonRepudiation, digitalSignature, keyEncipherment
    extendedKeyUsage = OCSPSigning
  2. 用户证书需要以下参数：

    [ UserCerts ]
    authorityInfoAccess = OCSP;URI:http://10.61.208.243
  3. 证书需要由CA生成并签名。

  4. 启动OCSP服务器：

    openssl ocsp -index ourCAwebPage/index.txt -port 80 -rsigner
       ocspresponder.crt -rkey ocspresponder.key -CA cacert.crt -text -out
       log.txt
  5. 测试示例证书：

    openssl ocsp -CAfile cacert.crt -issuer cacert.crt -cert example-cert.crt
       -url http://10.61.208.243 -resp_text

更多示例可在OpenSSL网站上找到。

与ASA一样，OpenSSL支持OCSP非ce；可以使用 — nonce和 — no_nonce开关控制nonce。

具有多个OCSP源的ASA

ASA可以覆盖OCSP URL。即使客户端证书包含OCSP URL，它也会被ASA上的配置覆盖：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 ocsp url http://10.10.10.10/ocsp

可以显式定义OCSP服务器地址。此命令示例匹配主题名称中管理员的所有证书，使用OPENSSL信任点验证OCSP签名，并使用http://11.11.11.11/ocsp的URL发送请求：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 match certificate MAP override ocsp trustpoint OPENSSL 10 url 
    http://11.11.11.11/ocsp

crypto ca certificate map MAP 10
 subject-name co administrator

用于查找OCSP URL的顺序为：

  1. 使用match certificate命令设置的OCSP服务器
  2. 使用ocsp url命令设置的OCSP服务器
  3. 客户端证书的AIA字段中的OCSP服务器

由不同CA签名的ASA with OCSP

OCSP响应可以由其他CA签名。在这种情况下，需要使用match certificate命令才能在ASA上使用不同的信任点进行OCSP证书验证。

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 match certificate MAP override ocsp trustpoint OPENSSL 10 url 
    http://11.11.11.11/ocsp

crypto ca certificate map MAP 10
 subject-name co administrator

crypto ca trustpoint OPENSSL
 enrollment terminal
 revocation-check none

在本例中，ASA使用包含管理员的使用者名称的所有证书的OCSP URL重写。ASA被迫根据另一个信任点OPENSSL验证OCSP响应器证书。用户证书仍在WIN2012信任点中验证。

由于OCSP响应器证书具有“OCSP no revocation checking”扩展名，因此即使在OCSP强制根据OPENSSL信任点进行验证时，也不会验证证书。

默认情况下，当ASA尝试验证用户证书时，将搜索所有信任点。OCSP响应器证书的验证不同。ASA仅搜索已找到的信任点用户证书（本示例中为WIN2012）。

因此，必须使用match certificate命令强制ASA使用不同的信任点进行OCSP证书验证（本示例中为OPENSSL）。

根据第一个匹配的信任点（本例中为WIN2012）验证用户证书，然后确定用于OCSP响应器验证的默认信任点。

如果match certificate命令中未提供特定信任点，则会根据与用户证书相同的信任点验证OCSP证书（本示例中为WIN2012）：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 match certificate MAP override ocsp 10 url http://11.11.11.11/ocsp

验证

使用本部分可确认配置能否正常运行。

注意:Output Interpreter Tool(仅注册客户)支持某些show命令。使用输出解释器工具来查看 show 命令输出的分析。

ASA — 通过SCEP获取证书

此过程介绍如何使用SCEP获取证书：

  1. 这是用于获取CA证书的信任点身份验证过程：

    debug crypto ca
    debug crypto ca messages
    debug crypto ca transaction

    BSNS-ASA5510-3(config-ca-crl)# crypto ca authenticate WIN2012
    Crypto CA thread wakes up!

    CRYPTO_PKI: Sending CA Certificate Request: 
    GET /certsrv/mscep/mscep.dll/pkiclient.exe?operation=GetCACert&message=
       WIN2012 HTTP/1.0
    Host: 10.61.209.83

    CRYPTO_PKI: http connection opened

    INFO: Certificate has the following attributes:
    Fingerprint:     27dda0e5 e1ed3f4c e3a2c3da 6d1689c2 
    Do you accept this certificate? [yes/no]: 

    % Please answer 'yes' or 'no'.
    Do you accept this certificate? [yes/no]: 
    yes

    Trustpoint CA certificate accepted.
  2. 要请求证书，ASA需要具备可从管理员控制台(http://IP/certsrv/mscep_admin)获取的一次性SCEP密码：

    116720-config-asa-ocsp-13.png

  3. 使用该密码在ASA上请求证书：

    BSNS-ASA5510-3(config)# crypto ca enroll WIN2012
    %
    % Start certificate enrollment .. 
    % Create a challenge password. You will need to verbally provide this
       password to the CA Administrator in order to revoke your certificate.
       For security reasons your password will not be saved in the 
       configuration.
       Please make a note of it.
    Password: ****************
    Re-enter password: ****************


    % The fully-qualified domain name in the certificate will be: 
       BSNS-ASA5510-3.test-cisco.com
    % Include the device serial number in the subject name? [yes/no]: yes
    % The serial number in the certificate will be: JMX1014K16Y

    Request certificate from CA? [yes/no]: yes
    % Certificate request sent to Certificate Authority
    BSNS-ASA5510-3(config)# 

    CRYPTO_PKI: Sending CA Certificate Request: 
    GET /certsrv/mscep/mscep.dll/pkiclient.exe?operation=GetCACert&message=
       WIN2012 HTTP/1.0
    Host: 10.61.209.83

    CRYPTO_PKI: http connection opened

    CRYPTO_PKI: Found a subject match - inserting the following cert record
       into certList
    为清楚起见，省略了部分输出。

  4. 验证CA和ASA证书：

    BSNS-ASA5510-3(config)# show crypto ca certificates 
    Certificate
      Status: Available
      Certificate Serial Number: 240000001cbf2fc89f44fe819700000000001c
      Certificate Usage: General Purpose
      Public Key Type: RSA (1024 bits)
      Signature Algorithm: SHA1 with RSA Encryption
      Issuer Name: 
        cn=test-cisco-DC-CA
        dc=test-cisco
        dc=com
      Subject Name:
        hostname=BSNS-ASA5510-3.test-cisco.com
        serialNumber=JMX1014K16Y
      CRL Distribution Points: 
        [1]  ldap:///CN=test-cisco-DC-CA,CN=DC,CN=CDP,
           CN=Public%20Key%20Services,CN=Services,CN=Configuration,
           DC=test-cisco,DC=com?certificateRevocationList?base?objectClass=
           cRLDistributionPoint
      Validity Date: 
        start date: 11:02:36 CEST Oct 13 2013
        end   date: 11:02:36 CEST Oct 13 2015
      Associated Trustpoints: WIN2012 

    CA Certificate
      Status: Available
      Certificate Serial Number: 3d4c0881b04c799f483f4bbe91dc98ae
      Certificate Usage: Signature
      Public Key Type: RSA (2048 bits)
      Signature Algorithm: SHA1 with RSA Encryption
      Issuer Name: 
        cn=test-cisco-DC-CA
        dc=test-cisco
        dc=com
      Subject Name: 
        cn=test-cisco-DC-CA
        dc=test-cisco
        dc=com
      Validity Date: 
        start date: 07:23:03 CEST Oct 10 2013
        end   date: 07:33:03 CEST Oct 10 2018
      Associated Trustpoints: WIN2012
    ASA不显示大多数证书扩展。即使ASA证书包含“AIA中的OCSP URL”扩展，ASA CLI也不提供该扩展。Cisco Bug ID CSCui44335“ASA ENH Certificate x509 extensions displayed”（显示ASA增强型证书x509扩展）请求此增强功能。

AnyConnect — 通过网页获取证书

以下过程介绍如何使用客户端上的Web浏览器获取证书：

  1. 可以通过网页请求AnyConnect用户证书。在客户端PC上，使用Web浏览器转到CA，地址为http://IP/certsrv:

    116720-config-asa-ocsp-14.png

  2. 用户证书可以保存在Web浏览器存储中，然后导出到Microsoft存储中，AnyConnect会搜索该存储区。使用certmgr.msc验证收到的证书：

    116720-config-asa-ocsp-15.png

    只要有正确的AnyConnect配置文件，AnyConnect也可以请求证书。

带OCSP验证的ASA VPN远程访问

此过程介绍如何检查OCSP验证：

  1. 在尝试连接时，ASA报告正在检查证书的OCSP。此处，OCSP签名证书具有无检查扩展名，且未通过OCSP检查：

    debug crypto ca
    debug crypto ca messages
    debug crypto ca transaction

    %ASA-6-725001: Starting SSL handshake with client outside:
       10.61.209.83/51262 for TLSv1 session.
    %ASA-7-717025: Validating certificate chain containing 1 certificate(s).
    %ASA-7-717029: Identified client certificate within certificate chain. 
       serial number: 240000001B2AD208B12811687400000000001B, subject name: 
       cn=Administrator,cn=Users,dc=test-cisco,dc=com.
    Found a suitable trustpoint WIN2012 to validate certificate.
    %ASA-7-717035: OCSP status is being checked for certificate. serial 
       number: 240000001B2AD208B12811687400000000001B, subject name:  
       cn=Administrator,cn=Users,dc=test-cisco,dc=com.
    %ASA-6-302013: Built outbound TCP connection 1283 for outside:
       10.61.209.83/80 (10.61.209.83/80) to identity:10.48.67.229/35751 
       (10.48.67.229/35751)
    %ASA-6-717033: CSP response received.
    %ASA-7-717034: No-check extension found in certificate. OCSP check 
       bypassed    .
    %ASA-6-717028: Certificate chain was successfully validated with 
       revocation status check.
    为清楚起见，省略了部分输出。

  2. 最终用户提供用户凭证：

    116720-config-asa-ocsp-16.png

  3. VPN会话已正确完成：

    %ASA-7-717036: Looking for a tunnel group match based on certificate maps
       for peer certificate with serial number: 
       240000001B2AD208B12811687400000000001B, subject name: cn=Administrator,
       cn=Users,dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com.
    %ASA-7-717038: Tunnel group match found. Tunnel Group: RA, Peer 
       certificate: serial number: 240000001B2AD208B12811687400000000001B, 
       subject name: cn=Administrator,cn=Users,dc=test-cisco,dc=com, 
       issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,dc=com.

    %ASA-6-113012: AAA user authentication Successful : local database : 
       user = cisco
    %ASA-6-113009: AAA retrieved default group policy (MY) for user = cisco
    %ASA-6-113039: Group <MY> User <cisco> IP <10.61.209.83> AnyConnect parent
       session started    .
  4. 会话创建成功：

    BSNS-ASA5510-3(config)# show vpn-sessiondb detail anyconnect 

    Session Type: AnyConnect Detailed

    Username     : cisco                  Index        : 4
    Assigned IP  : 192.168.11.100         Public IP    : 10.61.209.83
    Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
    License      : AnyConnect Premium
    Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)RC4  
                   DTLS-Tunnel: (1)AES128
    Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  
                   DTLS-Tunnel: (1)SHA1
    Bytes Tx     : 10540                  Bytes Rx     : 32236
    Pkts Tx      : 8                      Pkts Rx      : 209
    Pkts Tx Drop : 0                      Pkts Rx Drop : 0
    Group Policy : MY                     Tunnel Group : RA
    Login Time   : 11:30:31 CEST Sun Oct 13 2013
    Duration     : 0h:01m:05s
    Inactivity   : 0h:00m:00s
    NAC Result   : Unknown
    VLAN Mapping : N/A                    VLAN         : none

    AnyConnect-Parent Tunnels: 1
    SSL-Tunnel Tunnels: 1
    DTLS-Tunnel Tunnels: 1

    AnyConnect-Parent:
      Tunnel ID    : 4.1
      Public IP    : 10.61.209.83
      Encryption   : none                   Hashing      : none
      TCP Src Port : 51401                  TCP Dst Port : 443
      Auth Mode    : Certificate and userPassword
      Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
      Client OS    : Windows
      Client Type  : AnyConnect
      Client Ver   : Cisco AnyConnect VPN Agent for Windows 3.1.02040
      Bytes Tx     : 5270                   Bytes Rx     : 788
      Pkts Tx      : 4                      Pkts Rx      : 1
      Pkts Tx Drop : 0                      Pkts Rx Drop : 0
      
    SSL-Tunnel:
      Tunnel ID    : 4.2
      Assigned IP  : 192.168.11.100         Public IP    : 10.61.209.83
      Encryption   : RC4                    Hashing      : SHA1
      Encapsulation: TLSv1.0                TCP Src Port : 51406
      TCP Dst Port : 443                    Auth Mode    : Certificate and 
                     userPassword
      Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
      Client OS    : Windows
      Client Type  : SSL VPN Client
      Client Ver   : Cisco AnyConnect VPN Agent for Windows 3.1.02040
      Bytes Tx     : 5270                   Bytes Rx     : 1995
      Pkts Tx      : 4                      Pkts Rx      : 10
      Pkts Tx Drop : 0                      Pkts Rx Drop : 0
      
    DTLS-Tunnel:
      Tunnel ID    : 4.3
      Assigned IP  : 192.168.11.100         Public IP    : 10.61.209.83
      Encryption   : AES128                 Hashing      : SHA1
      Encapsulation: DTLSv1.0               UDP Src Port : 58053
      UDP Dst Port : 443                    Auth Mode    : Certificate and 
                     userPassword
      Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
      Client OS    : Windows
      Client Type  : DTLS VPN Client
      Client Ver   : Cisco AnyConnect VPN Agent for Windows 3.1.02040
      Bytes Tx     : 0                      Bytes Rx     : 29664
      Pkts Tx      : 0                      Pkts Rx      : 201
      Pkts Tx Drop : 0                      Pkts Rx Drop : 0
  5. 您可以使用详细调试进行OCSP验证：

    CRYPTO_PKI: Starting OCSP revocation
    CRYPTO_PKI: Attempting to find OCSP override for peer cert: serial number:
       2400000019F341BA75BD25E91A000000000019, subject name: cn=Administrator,
       cn=Users,dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com.
    CRYPTO_PKI: No OCSP overrides found. <-- no OCSP url in the ASA config

    CRYPTO_PKI: http connection opened
    CRYPTO_PKI: OCSP response received successfully.
    CRYPTO_PKI: OCSP found in-band certificate: serial number: 
       240000001221CFA239477CE1C0000000000012, subject name: 
       cn=DC.test-cisco.com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com
    CRYPTO_PKI: OCSP responderID byKeyHash
    CRYPTO_PKI: OCSP response contains 1 cert singleResponses responseData 
       sequence.

    Found response for request certificate!
    CRYPTO_PKI: Verifying OCSP response with 1 certs in the responder chain
    CRYPTO_PKI: Validating OCSP response using trusted CA cert: serial number:
       3D4C0881B04C799F483F4BBE91DC98AE, subject name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com

    CERT-C: W ocsputil.c(538) : Error #708h
    CERT-C: W ocsputil.c(538) : Error #708h

    CRYPTO_PKI: Validating OCSP responder certificate: serial number: 
       240000001221CFA239477CE1C0000000000012, subject name: 
       cn=DC.test-cisco.com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com, signature alg: SHA1/RSA

    CRYPTO_PKI: verifyResponseSig:3191
    CRYPTO_PKI: OCSP responder cert has a NoCheck extension
    CRYPTO_PKI: Responder cert status is not revoked <-- do not verify 
       responder cert
    CRYPTO_PKI: response signed by the CA
    CRYPTO_PKI: Storage context released by thread Crypto CA

    CRYPTO_PKI: transaction GetOCSP completed 
    CRYPTO_PKI: Process next cert, valid cert. <-- client certificate 
       validated correctly
  6. 在数据包捕获级别，这是OCSP请求和正确的OCSP响应。响应包含在Microsoft OCSP上启用的正确签名 — nonce扩展：

    116720-config-asa-ocsp-17.png

具有多个OCSP源的ASA VPN远程访问

如果根据ASA with Multiple OCSP Sources中的说明配置匹配证书，则优先使用：

CRYPTO_PKI: Processing map MAP sequence 10...
CRYPTO_PKI: Match of subject-name field to map PASSED. Peer cert field:  = 
   cn=Administrator,cn=Users,dc=test-cisco,dc=com, map rule: subject-name
   co administrator.
CRYPTO_PKI: Peer cert has been authorized by map: MAP sequence: 10.
CRYPTO_PKI: Found OCSP override match. Override URL: http://11.11.11.11/ocsp,
   Override trustpoint: OPENSSL

当使用OCSP URL覆盖时，调试为：

CRYPTO_PKI: No OCSP override via cert maps found. Override was found in 
   trustpoint: WIN2012, URL found: http://10.10.10.10/ocsp.

具有OCSP和已撤销证书的ASA VPN远程访问

此过程介绍如何撤销证书和确认撤销状态：

  1. 撤销客户端证书：

    116720-config-asa-ocsp-18.png

  2. 发布结果：

    116720-config-asa-ocsp-19.png

  3. [可选]步骤1和2也可以通过Power Shell中的certutil CLI实用程序来完成：

    c:\certutil -crl
    CertUtil: -CRL command completed succesfully.
  4. 当客户端尝试连接时，出现证书验证错误：

    116720-config-asa-ocsp-20.png

  5. AnyConnect日志还指示证书验证错误：

    [2013-10-13 12:49:53] Contacting 10.48.67.229.
    [2013-10-13 12:49:54] No valid certificates available for authentication.
    [2013-10-13 12:49:55] Certificate Validation Failure
  6. ASA报告证书状态已撤销：

    CRYPTO_PKI: Starting OCSP revocation
    CRYPTO_PKI: OCSP response received successfully.
    CRYPTO_PKI: OCSP found in-band certificate: serial number: 
       240000001221CFA239477CE1C0000000000012, subject name: 
       cn=DC.test-cisco.com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com
    CRYPTO_PKI: OCSP responderID byKeyHash
    CRYPTO_PKI: OCSP response contains 1 cert singleResponses responseData 
       sequence.

    Found response for request certificate!
    CRYPTO_PKI: Verifying OCSP response with 1 certs in the responder chain
    CRYPTO_PKI: Validating OCSP response using trusted CA cert: serial number:
       3D4C0881B04C799F483F4BBE91DC98AE, subject name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com

    CRYPTO_PKI: verifyResponseSig:3191
    CRYPTO_PKI: OCSP responder cert has a NoCheck extension
    CRYPTO_PKI: Responder cert status is not revoked
    CRYPTO_PKI: response signed by the CA
    CRYPTO_PKI: Storage context released by thread Crypto CA

    CRYPTO_PKI: transaction GetOCSP completed

    CRYPTO_PKI: Received OCSP response:Oct 13 2013 12:48:03: %ASA-3-717027: 
       Certificate chain failed validation. Generic error occurred    , serial 
       number: 240000001B2AD208B12811687400000000001B, subject name: 
       cn=Administrator,cn=Users,dc=test-cisco,dc=com.

    CRYPTO_PKI: Blocking chain callback called for OCSP response (trustpoint:
       WIN2012, status: 1)
    CRYPTO_PKI: Destroying OCSP data handle 0xae255ac0
    CRYPTO_PKI: OCSP polling for trustpoint WIN2012 succeeded. Certificate 
       status is REVOKED    .
    CRYPTO_PKI: Process next cert in chain entered with status: 13.
    CRYPTO_PKI: Process next cert, Cert revoked: 13
  7. 数据包捕获显示一个成功的OCSP响应，证书状态为revoked:

    116720-config-asa-ocsp-21.png

故障排除

本部分提供的信息可用于对配置进行故障排除。

OCSP服务器关闭

ASA报告OCSP服务器关闭的时间：

CRYPTO_PKI: unable to find a valid OCSP server.
CRYPTO PKI: OCSP revocation check has failed.  Status: 1800.

数据包捕获还可帮助进行故障排除。

时间不同步

如果OCSP服务器上的当前时间早于ASA上的时间（可以接受较小的差异），则OCSP服务器会发送未经授权的响应，ASA会报告该响应：

CRYPTO_PKI: OCSP response status - unauthorized

当ASA收到来自未来时间的OCSP响应时，也会发生故障。

不支持签名的Nonce

如果服务器上的nonce不受支持（Microsoft Windows 2012 R2上的默认设置），则会返回未经授权的响应：

116720-config-asa-ocsp-22.png

IIS7服务器身份验证

SCEP/OCSP请求的问题通常是由于Internet Information Services 7(IIS7)上的身份验证不正确造成的。确保配置了匿名访问：

116720-config-asa-ocsp-23.png

相关信息

修订历史记录

版本 发布日期 备注
1.0
25-Oct-2013
初始版本
TAC Authored

由思科工程师提供

  • Michal Garcarz
    Cisco TAC Engineer.

此文档是否有帮助?

Feedback反馈

联系我们