حل حالات فشل التحقق من صحة شهادة IOS XE بسبب عدم تطابق عنوان URL الخاص ب CDP مع عنوان URL لتنزيل CRL المتعدد

خيارات التنزيل

PDF (254.7 KB)
عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
ePub (87.0 KB)
العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
Mobi (Kindle) (73.7 KB)
عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة

تم التحديث:٦ نوفمبر ٢٠٢٦

معرّف المستند:226558

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المحتويات

مسألة

بعد إضافة مواقع عنوان URL لتنزيل CRL الإضافية إلى جهاز موزع Dynamic Multipoint VPN (DMVPN)، فشلت بعض الأنفاق التي تم التحدث فيها في الإنشاء بسبب فشل تفاوض IKE وقام الموزع بتسجيل هذا الخطأ:

%PKI-3-CERTIFICATE_INVALID: Certificate chain validation has failed

على الرغم من نجاح التحقق من صحة سلسلة الشهادات وتنزيل قوائم التحكم في الوصول إلى النقل (CRL) بنجاح، إلا أن التحقق من الإبطال يفشل بشكل متقطع مع:

No CRL found with matching CDP
revocation status = 2

تحدث هذه المشكلة عندما يستخدم موجه لوحة وصل DMVPN عدة مواقع لعنوان URL لتنزيل قائمة إبطال الشهادات (CRL) التي تشير إلى ملف CRL نفسه. تتضمن مواقع تنزيل CRL كلا من عناوين URL المستندة إلى IP وعناوين FQDN المستندة إلى FQDN، بينما تحتوي الشهادة الصادرة للموجهات التي يتحدث بها فقط على عنوان URL المستند إلى FQDN في نقطة توزيع CRL (CDP) الخاصة بها.

البيئة

أجهزة Cisco التي تشغل برنامج IOS® XE الذي تم تكوينه ل IPsec باستخدام مصادقة IKE المستندة إلى الشهادة.
مواقع تنزيل CRL متعددة مع عناوين URL المستندة إلى IP وتلك المستندة إلى FQDN التي تستضيف ملفات CRL نفسها.
تحتوي الشهادة التي تم إصدارها للأجهزة النظيرة على عنوان URL واحد فقط في بروتوكول CDP الخاص بها.
تكوين نفق IPsec باستخدام المصادقة المستندة إلى الشهادة أثناء تنفيذ التحقق من إبطال الشهادة.

قرار

يتضمن الحل توحيد المعايير على عنوان CDP واحد قانوني عبر بيئة PKI لضمان مطابقة عنوان URL بدقة أثناء التحقق من صحة CRL.

خطوات التنفيذ الموصى بها

1. إزالة عناوين CRL المستندة إلى IP لتنزيل URL من تكوين لوحة الوصل، إذا كانت عناوين CRL المستندة إلى IP ليست جزءا من بروتوكول CDP للشهادة

no crypto pki crl download url http://x.x.x.x/prod/Example%20Company%20Issuing%20CA1.crl
no crypto pki crl download url http://x.x.x.x/prod/Example%20Company%20Issuing%20CA2.crl

2. قم فقط بتكوين عناوين CRL لتنزيل CRL المستندة إلى FQDN التي تطابق CDP في الشهادات التي تم التحدث بها

crypto pki crl download url http://crl.examplecompnay.com/prod/Example%20Company%20Issuing%20CA1.crl
crypto pki crl download url http://crl.examplecompany.com/prod/Example%20Company%20Issuing%20CA2.crl

3. تحديث قوالب المرجع المصدق الإصدار لاستخدام عناوين CDP URL المتسقة

تأكد من ختم قوالب المرجع المصدق للإصدار فقط عنوان URL لبروتوكول CDP المستند إلى FQDN في الشهادات الصادرة حديثا.

4. إعادة تسجيل الشهادات المحورية والشهادات التي تم التحدث بها (إذا تم تغيير عنوان URL الجديد لبروتوكول CDP)

في حالة تنفيذ عنوان CDP جديد، قم بتغيير المرجع المصدق الخاص بالإصدار لنشر عنوان URL الجديد لبروتوكول CDP وإعادة تسجيل كلا من الشهادات المحورية والشهادات التي يتم التحدث بها لحمل عنوان URL الجديد.

تنفيذ التكرار

بالنسبة لمزود CRL الاحتياطي، على سبيل المثال، لنشر نفس CRL في مواقع URL مختلفة للحماية من حالات الفشل على الأجهزة المضيفة، قم بتنفيذ تكرار الطرف الخلفي خلف FQDN واحد باستخدام:

تجاوز فشل DNS
موازن التحميل
بنية CRL الأساسية المكررة

لا تستخدم العديد من بروتوكولات CDP ذات أسماء المضيف/IPs المختلفة حيث يتعامل IOS XE مع هذه على أنها وحدات CDP مختلفة حتى إذا كانت تشير إلى نفس ملف CRL.

التحقق

بعد تنفيذ التغييرات، تحقق من التخزين المؤقت ل CRL وإنشاء النفق:

show crypto pki crl

تأكد من أن جلسة عمل IKEv2 تؤسس بنجاح:

show crypto session details

السبب

سبب المشكلة هو سلوك IOS XE لمطابقة عنوان URL لبروتوكول CDP أثناء التحقق من صحة CRL. عند التحقق من صحة شهادة نظير مع تمكين ميزة إبطال-فحص CRL، يقوم IOS XE بإجراء تطابق تام للسلسلة بين عنوان URL لبروتوكول CDP المدمج في الشهادة التي يتم التحقق من صحتها وعنوان URL لبروتوكول CDP المقترن ب CRL المخزن في ذاكرة التخزين المؤقت ل CRL التي تم تحليلها في الصرة.

يحدث تسلسل الفشل هذا:

يقوم Hub بتنزيل CRL بنجاح باستخدام CDP URL المستند إلى IP ويتخزينه داخليا ضمن عنوان URL هذا.
تشير الشهادات التي تم التحدث بها إلى URL المستند إلى FQDN في CDP الخاص به.
أثناء التحقق من صحة الإبطال، يبحث IOS XE عن CRL مخزن مؤقتا يطابق URL FQDN.
لم يتم العثور على تطابق تام لأن IOS XE يتعامل مع عناوين URL المستندة إلى IP و FQDN على أنها بروتوكولات CDP مختلفة.
يقوم الموجه بإرجاع "لم يتم العثور على CRL مع CDP المتطابق" مع حالة الإبطال = 2.
يفشل التحقق من صحة الشهادة مع وجود ٪PKI-3-CERTIFICATE_INVALID.

لا يقوم IOS XE بتطبيع تنسيقات URL المختلفة (IP مقابل FQDN) على أنها مكافئة، حتى عندما تقوم كلتاهما بإرجاع محتوى CRL متماثل لنفس المصدر.