Microsoft Windows 2012和OpenSSL下带OCSP验证的ASA远程访问VPN

下载选项

  • PDF     (2.8 MB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (2.0 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (1.9 MB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2013 年 11 月 6 日
文档 ID:116720

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何在思科自适应安全设备(ASA)上对VPN用户提供的证书使用在线证书状态协议(OCSP)验证。显示了两个OCSP服务器（Microsoft Windows Certificate Authority [CA]和OpenSSL）的配置示例。“验证”部分介绍数据包级别上的详细流，“故障排除”部分重点介绍典型错误和问题。

先决条件

要求

Cisco 建议您了解以下主题：

  • 思科自适应安全设备命令行界面(CLI)配置和安全套接字层(SSL)VPN配置
  • X.509证书
  • Microsoft Windows Server
  • Linux/OpenSSL

使用的组件

本文档中的信息基于以下软件和硬件版本：

  • 思科自适应安全设备软件8.4版及更高版本
  • Microsoft Windows 7，带Cisco AnyConnect安全移动客户端，版本3.1
  • Microsoft Server 2012 R2
  • 带OpenSSL 1.0.0j或更高版本的Linux

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

注意：使用命令查找工具（仅限注册用户）可获取有关本部分所使用命令的详细信息。

网络图

客户端使用远程访问VPN。此访问可以是Cisco VPN客户端(IPSec)、Cisco AnyConnect安全移动（SSL/Internet密钥交换版本2 [IKEv2]）或WebVPN（门户）。 为了登录，客户端提供正确的证书以及在ASA上本地配置的用户名/密码。客户端证书通过OCSP服务器进行验证。

116720-config-asa-ocsp-01.jpg

带OCSP的ASA远程访问

ASA已配置为SSL访问。客户端使用AnyConnect登录。ASA使用简单证书注册协议(SCEP)来请求证书：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.147.25.80:80/certsrv/mscep/mscep.dll

crypto ca certificate map MAP 10
 subject-name co administrator

创建证书映射以标识其主题名称包含单词administrator（不区分大小写）的所有用户。 这些用户绑定到名为RA的隧道组：

webvpn
 enable outside
 anyconnect image disk0:/anyconnect-win-3.1.02040-k9.pkg 1
 anyconnect enable
 tunnel-group-list enable
 certificate-group-map MAP 10 RA

VPN配置需要成功的授权（即验证证书）。 它还需要本地定义的用户名(authentication aaa)的正确凭证：

username cisco password xxxxxxx
ip local pool POOL 192.168.11.100-192.168.11.105 mask 255.255.255.0

aaa authentication LOCAL
aaa authorization LOCAL

group-policy MY internal
group-policy MY attributes
 vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless

tunnel-group RA type remote-access
tunnel-group RA general-attributes
 address-pool POOL
 default-group-policy MY
 authorization-required
tunnel-group RA webvpn-attributes
 authentication aaa certificate
 group-alias RA enable

Microsoft Windows 2012 CA

注意：请参阅使用CLI、8.4和8.6的Cisco ASA 5500系列配置指南：配置外部服务器以进行安全设备用户授权，以获取有关通过CLI配置ASA的详细信息。 

服务安装

此过程介绍如何为Microsoft服务器配置角色服务：

    1. 导航至Server Manager > Manage > Add Roles and Features。Microsoft服务器需要以下角色服务：

        • 证书颁发机构
        • 证书颁发机构Web注册，由客户端使用
        • OCSP所需的在线响应器
        • 网络设备注册服务，包含ASA使用的SCEP应用

       如果需要，可以添加包含策略的Web服务。

      116720-config-asa-ocsp-02.png

      2. 不能同时添加所有角色；例如，网络设备注册服务(NDES)必须稍后添加。

    2. 添加功能时，请务必包括Online Responder Tools，因为它包括稍后使用的OCSP管理单元：

      116720-config-asa-ocsp-03.png

OCSP模板的CA配置

OCSP服务使用证书对OCSP响应进行签名。必须在Microsoft服务器上生成特殊证书，并且必须包括：

  • 扩展密钥使用= OCSP签名
  • OCSP无撤销检查

要防止OCSP验证循环，需要此证书。ASA不使用OCSP服务尝试检查OCSP服务提供的证书。

  1. 在CA上为证书添加模板。导航至CA > Certificate Template > Manage，选择OCSP Response Signing，然后复制模板。查看新创建模板的属性，然后单击“安全”选项卡。权限描述允许哪个实体请求使用该模板的证书，因此需要正确的权限。在本示例中，实体是在同一主机(TEST-CISCO\DC)上运行的OCSP服务，并且OCSP服务需要自动注册权限：

    116720-config-asa-ocsp-04.png

    模板的所有其他设置都可设置为默认值。

  2. 激活模板。导航至CA > Certificate Template > New > Certificate Template to Issue，然后选择重复的模板：

    116720-config-asa-ocsp-05.png

OCSP服务证书

此过程介绍如何使用在线配置管理来配置OCSP:

  1. 导航至“服务器管理器”>“工具”。

  2. 导航至Revocation Configuration > Add Revocation Configuration 以添加新配置：

    116720-config-asa-ocsp-06.png

    OCSP可以使用相同的企业CA。生成OCSP服务的证书。

  3. 使用所选企业CA，然后选择之前创建的模板。证书自动注册：

    116720-config-asa-ocsp-07.png

  4. 确认证书已注册且其状态为“工作/正常”：

    116720-config-asa-ocsp-08.png

    116720-config-asa-ocsp-09.png

  5. 导航至CA > Issued Certificates以验证证书详细信息：

    116720-config-asa-ocsp-10.png

OCSP服务非

OCSP的Microsoft实施符合RFC 5019高容量环境的轻量级在线证书状态协议(OCSP)配置文件，这是RFC 2560 X.509互联网公钥基础设施在线证书状态协议的简化版本 — OCSP 。

ASA将RFC 2560用于OCSP。两个RFC中的一个区别是RFC 5019不接受ASA发送的签名请求。

可以强制Microsoft OCSP服务接受这些已签名的请求并使用正确的已签名响应进行回复。导航至Revocation Configuration > RevocationConfiguration1 > Edit Properties，然后选择选项以启用NONCE扩展支持。

116720-config-asa-ocsp-11.png

OCSP服务现已准备就绪。

虽然思科不建议这样做，但可以在ASA上禁用nonce:

BSNS-ASA5510-3(config-ca-trustpoint)# ocsp disable-nonce

OCSP扩展的CA配置

您现在必须重新配置CA，以在所有已颁发的证书中包含OCSP服务器扩展。ASA使用该扩展的URL，以在验证证书时连接到OCSP服务器。

  1. 打开CA上服务器的属性对话框。

  2. 单击“Extensions(分机)”选项卡。需要指向OCSP服务的授权信息访问(AIA)扩展；在本例中，它是http://10.61.208.243/ocsp。为AIA分机启用以下两个选项：

    • 包括已颁发证书的AIA扩展
    • 包括在在线证书状态协议(OCSP)扩展中

    116720-config-asa-ocsp-12.png

    这可确保所有已颁发的证书都具有指向OCSP服务的正确分机。

OpenSSL

注意：请参阅使用CLI、8.4和8.6的Cisco ASA 5500系列配置指南：配置外部服务器以进行安全设备用户授权，以获取有关通过CLI配置ASA的详细信息。 

此示例假设OpenSSL服务器已配置。本节仅介绍OCSP配置和CA配置所需的更改。

此过程介绍如何生成OCSP证书：

  1. OCSP响应器需要以下参数：

    [ OCSPresponder ]
    basicConstraints = CA:FALSE
    keyUsage = nonRepudiation, digitalSignature, keyEncipherment
    extendedKeyUsage = OCSPSigning
  2. 用户证书需要以下参数：

    [ UserCerts ]
    authorityInfoAccess = OCSP;URI:http://10.61.208.243
  3. 证书需要由CA生成和签名。

  4. 启动OCSP服务器：

    openssl ocsp -index ourCAwebPage/index.txt -port 80 -rsigner
       ocspresponder.crt -rkey ocspresponder.key -CA cacert.crt -text -out
       log.txt
  5. 测试示例证书：

    openssl ocsp -CAfile cacert.crt -issuer cacert.crt -cert example-cert.crt
       -url http://10.61.208.243 -resp_text

OpenSSL网站上提供了更多示例。

与ASA一样，OpenSSL支持OCSPnonces;可使用 — nonce和 — no_nonce开关控制nonce。

具有多个OCSP源的ASA

ASA可以覆盖OCSP URL。即使客户端证书包含OCSP URL，也会被ASA上的配置覆盖：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 ocsp url http://10.10.10.10/ocsp

OCSP服务器地址可以明确定义。此命令示例将所有证书与主题名称中的管理员相匹配，使用OPENSSL信任点来验证OCSP签名，并使用http://11.11.11.11/ocsp的URL来发送请求：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 match certificate MAP override ocsp trustpoint OPENSSL 10 url 
    http://11.11.11.11/ocsp

crypto ca certificate map MAP 10
 subject-name co administrator

用于查找OCSP URL的顺序为：

  1. 使用match certificate命令设置的OCSP服务器
  2. 使用ocsp url命令设置的OCSP服务器
  3. 客户端证书的AIA字段中的OCSP服务器

带OCSP的ASA由不同CA签名

OCSP响应可由不同的CA签名。在这种情况下，必须使用match certificate命令，以便在ASA上使用不同的信任点进行OCSP证书验证。

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 match certificate MAP override ocsp trustpoint OPENSSL 10 url 
    http://11.11.11.11/ocsp

crypto ca certificate map MAP 10
 subject-name co administrator

crypto ca trustpoint OPENSSL
 enrollment terminal
 revocation-check none

在本示例中，ASA使用OCSP URL重写所有具有包含管理员的使用者名称的证书。ASA被强制根据另一个信任点OPENSSL验证OCSP响应器证书。用户证书仍在WIN2012信任点中验证。

由于OCSP响应器证书具有“OCSP no revocation checking”扩展，因此即使OCSP被迫根据OPENSSL信任点进行验证，证书也不会被验证。

默认情况下，当ASA尝试验证用户证书时，会搜索所有信任点。OCSP响应器证书的验证不同。ASA仅搜索已找到用户证书的信任点（本例中为WIN2012）。

因此，必须使用match certificate命令，以强制ASA使用不同的信任点进行OCSP证书验证（本例中为OPENSSL）。

用户证书根据第一个匹配的信任点（本例中为WIN2012）进行验证，然后确定OCSP响应器验证的默认信任点。

如果match certificate命令中未提供特定信任点，则OCSP证书将根据与用户证书（本例中为WIN2012）相同的信任点进行验证：

crypto ca trustpoint WIN2012
 revocation-check ocsp
 enrollment url http://10.61.209.83:80/certsrv/mscep/mscep.dll
 match certificate MAP override ocsp 10 url http://11.11.11.11/ocsp

验证

使用本部分可确认配置能否正常运行。

注意：命令输出解释程序工具（仅限注册用户）支持某些 show 命令。使用输出解释器工具来查看 show 命令输出的分析。

ASA — 通过SCEP获取证书

此过程介绍如何使用SCEP获取证书：

  1. 以下是获取CA证书的信任点身份验证过程：

    debug crypto ca
    debug crypto ca messages
    debug crypto ca transaction

    BSNS-ASA5510-3(config-ca-crl)# crypto ca authenticate WIN2012
    Crypto CA thread wakes up!

    CRYPTO_PKI: Sending CA Certificate Request: 
    GET /certsrv/mscep/mscep.dll/pkiclient.exe?operation=GetCACert&message=
       WIN2012 HTTP/1.0
    Host: 10.61.209.83

    CRYPTO_PKI: http connection opened

    INFO: Certificate has the following attributes:
    Fingerprint:     27dda0e5 e1ed3f4c e3a2c3da 6d1689c2 
    Do you accept this certificate? [yes/no]: 

    % Please answer 'yes' or 'no'.
    Do you accept this certificate? [yes/no]: 
    yes

    Trustpoint CA certificate accepted.
  2. 为了请求证书，ASA需要具有一次性SCEP密码，该密码可从管理控制台(http://IP/certsrv/mscep_admin)获取：

    116720-config-asa-ocsp-13.png

  3. 使用该密码在ASA上请求证书：

    BSNS-ASA5510-3(config)# crypto ca enroll WIN2012
    %
    % Start certificate enrollment .. 
    % Create a challenge password. You will need to verbally provide this
       password to the CA Administrator in order to revoke your certificate.
       For security reasons your password will not be saved in the 
       configuration.
       Please make a note of it.
    Password: ****************
    Re-enter password: ****************


    % The fully-qualified domain name in the certificate will be: 
       BSNS-ASA5510-3.test-cisco.com
    % Include the device serial number in the subject name? [yes/no]: yes
    % The serial number in the certificate will be: JMX1014K16Y

    Request certificate from CA? [yes/no]: yes
    % Certificate request sent to Certificate Authority
    BSNS-ASA5510-3(config)# 

    CRYPTO_PKI: Sending CA Certificate Request: 
    GET /certsrv/mscep/mscep.dll/pkiclient.exe?operation=GetCACert&message=
       WIN2012 HTTP/1.0
    Host: 10.61.209.83

    CRYPTO_PKI: http connection opened

    CRYPTO_PKI: Found a subject match - inserting the following cert record
       into certList
    为清楚起见，已省略部分输出。

  4. 验证CA和ASA证书：

    BSNS-ASA5510-3(config)# show crypto ca certificates 
    Certificate
      Status: Available
      Certificate Serial Number: 240000001cbf2fc89f44fe819700000000001c
      Certificate Usage: General Purpose
      Public Key Type: RSA (1024 bits)
      Signature Algorithm: SHA1 with RSA Encryption
      Issuer Name: 
        cn=test-cisco-DC-CA
        dc=test-cisco
        dc=com
      Subject Name:
        hostname=BSNS-ASA5510-3.test-cisco.com
        serialNumber=JMX1014K16Y
      CRL Distribution Points: 
        [1]  ldap:///CN=test-cisco-DC-CA,CN=DC,CN=CDP,
           CN=Public%20Key%20Services,CN=Services,CN=Configuration,
           DC=test-cisco,DC=com?certificateRevocationList?base?objectClass=
           cRLDistributionPoint
      Validity Date: 
        start date: 11:02:36 CEST Oct 13 2013
        end   date: 11:02:36 CEST Oct 13 2015
      Associated Trustpoints: WIN2012 

    CA Certificate
      Status: Available
      Certificate Serial Number: 3d4c0881b04c799f483f4bbe91dc98ae
      Certificate Usage: Signature
      Public Key Type: RSA (2048 bits)
      Signature Algorithm: SHA1 with RSA Encryption
      Issuer Name: 
        cn=test-cisco-DC-CA
        dc=test-cisco
        dc=com
      Subject Name: 
        cn=test-cisco-DC-CA
        dc=test-cisco
        dc=com
      Validity Date: 
        start date: 07:23:03 CEST Oct 10 2013
        end   date: 07:33:03 CEST Oct 10 2018
      Associated Trustpoints: WIN2012
    ASA不显示大多数证书扩展。即使ASA证书包含“AIA中的OCSP URL”扩展，ASA CLI也不显示该扩展。Cisco Bug ID CSCui44335，“ASA ENH Certificate x509 extensions displayed”（显示ASA ENH证书x509扩展）请求此增强功能。

AnyConnect — 通过网页获取证书

此过程介绍如何在客户端上使用Web浏览器获取证书：

  1. 可以通过网页请求AnyConnect用户证书。在客户端PC上，使用Web浏览器转到CA，地址为IP/certsrv:

    116720-config-asa-ocsp-14.png

  2. 用户证书可以保存在Web浏览器存储中，然后导出到Microsoft存储，由AnyConnect搜索。使用certmgr.msc验证收到的证书：

    116720-config-asa-ocsp-15.png

    只要有正确的AnyConnect配置文件，AnyConnect也可以请求证书。

带OCSP验证的ASA VPN远程访问

此过程介绍如何检查OCSP验证：

  1. 在尝试连接时，ASA报告正在检查证书的OCSP。此处，OCSP签名证书具有无检查扩展，尚未通过OCSP检查：

    debug crypto ca
    debug crypto ca messages
    debug crypto ca transaction

    %ASA-6-725001: Starting SSL handshake with client outside:
       10.61.209.83/51262 for TLSv1 session.
    %ASA-7-717025: Validating certificate chain containing 1 certificate(s).
    %ASA-7-717029: Identified client certificate within certificate chain. 
       serial number: 240000001B2AD208B12811687400000000001B, subject name: 
       cn=Administrator,cn=Users,dc=test-cisco,dc=com.
    Found a suitable trustpoint WIN2012 to validate certificate.
    %ASA-7-717035: OCSP status is being checked for certificate. serial 
       number: 240000001B2AD208B12811687400000000001B, subject name:  
       cn=Administrator,cn=Users,dc=test-cisco,dc=com.
    %ASA-6-302013: Built outbound TCP connection 1283 for outside:
       10.61.209.83/80 (10.61.209.83/80) to identity:10.48.67.229/35751 
       (10.48.67.229/35751)
    %ASA-6-717033: CSP response received.
    %ASA-7-717034: No-check extension found in certificate. OCSP check 
       bypassed    .
    %ASA-6-717028: Certificate chain was successfully validated with 
       revocation status check.
    为清楚起见，已省略部分输出。

  2. 最终用户提供用户凭证：

    116720-config-asa-ocsp-16.png

  3. VPN会话已正确完成：

    %ASA-7-717036: Looking for a tunnel group match based on certificate maps
       for peer certificate with serial number: 
       240000001B2AD208B12811687400000000001B, subject name: cn=Administrator,
       cn=Users,dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com.
    %ASA-7-717038: Tunnel group match found. Tunnel Group: RA, Peer 
       certificate: serial number: 240000001B2AD208B12811687400000000001B, 
       subject name: cn=Administrator,cn=Users,dc=test-cisco,dc=com, 
       issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,dc=com.

    %ASA-6-113012: AAA user authentication Successful : local database : 
       user = cisco
    %ASA-6-113009: AAA retrieved default group policy (MY) for user = cisco
    %ASA-6-113039: Group <MY> User <cisco> IP <10.61.209.83> AnyConnect parent
       session started    .
  4. 会话创建：

    BSNS-ASA5510-3(config)# show vpn-sessiondb detail anyconnect 

    Session Type: AnyConnect Detailed

    Username     : cisco                  Index        : 4
    Assigned IP  : 192.168.11.100         Public IP    : 10.61.209.83
    Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
    License      : AnyConnect Premium
    Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)RC4  
                   DTLS-Tunnel: (1)AES128
    Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  
                   DTLS-Tunnel: (1)SHA1
    Bytes Tx     : 10540                  Bytes Rx     : 32236
    Pkts Tx      : 8                      Pkts Rx      : 209
    Pkts Tx Drop : 0                      Pkts Rx Drop : 0
    Group Policy : MY                     Tunnel Group : RA
    Login Time   : 11:30:31 CEST Sun Oct 13 2013
    Duration     : 0h:01m:05s
    Inactivity   : 0h:00m:00s
    NAC Result   : Unknown
    VLAN Mapping : N/A                    VLAN         : none

    AnyConnect-Parent Tunnels: 1
    SSL-Tunnel Tunnels: 1
    DTLS-Tunnel Tunnels: 1

    AnyConnect-Parent:
      Tunnel ID    : 4.1
      Public IP    : 10.61.209.83
      Encryption   : none                   Hashing      : none
      TCP Src Port : 51401                  TCP Dst Port : 443
      Auth Mode    : Certificate and userPassword
      Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
      Client OS    : Windows
      Client Type  : AnyConnect
      Client Ver   : Cisco AnyConnect VPN Agent for Windows 3.1.02040
      Bytes Tx     : 5270                   Bytes Rx     : 788
      Pkts Tx      : 4                      Pkts Rx      : 1
      Pkts Tx Drop : 0                      Pkts Rx Drop : 0
      
    SSL-Tunnel:
      Tunnel ID    : 4.2
      Assigned IP  : 192.168.11.100         Public IP    : 10.61.209.83
      Encryption   : RC4                    Hashing      : SHA1
      Encapsulation: TLSv1.0                TCP Src Port : 51406
      TCP Dst Port : 443                    Auth Mode    : Certificate and 
                     userPassword
      Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
      Client OS    : Windows
      Client Type  : SSL VPN Client
      Client Ver   : Cisco AnyConnect VPN Agent for Windows 3.1.02040
      Bytes Tx     : 5270                   Bytes Rx     : 1995
      Pkts Tx      : 4                      Pkts Rx      : 10
      Pkts Tx Drop : 0                      Pkts Rx Drop : 0
      
    DTLS-Tunnel:
      Tunnel ID    : 4.3
      Assigned IP  : 192.168.11.100         Public IP    : 10.61.209.83
      Encryption   : AES128                 Hashing      : SHA1
      Encapsulation: DTLSv1.0               UDP Src Port : 58053
      UDP Dst Port : 443                    Auth Mode    : Certificate and 
                     userPassword
      Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
      Client OS    : Windows
      Client Type  : DTLS VPN Client
      Client Ver   : Cisco AnyConnect VPN Agent for Windows 3.1.02040
      Bytes Tx     : 0                      Bytes Rx     : 29664
      Pkts Tx      : 0                      Pkts Rx      : 201
      Pkts Tx Drop : 0                      Pkts Rx Drop : 0
  5. 可以使用详细调试进行OCSP验证：

    CRYPTO_PKI: Starting OCSP revocation
    CRYPTO_PKI: Attempting to find OCSP override for peer cert: serial number:
       2400000019F341BA75BD25E91A000000000019, subject name: cn=Administrator,
       cn=Users,dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com.
    CRYPTO_PKI: No OCSP overrides found. <-- no OCSP url in the ASA config

    CRYPTO_PKI: http connection opened
    CRYPTO_PKI: OCSP response received successfully.
    CRYPTO_PKI: OCSP found in-band certificate: serial number: 
       240000001221CFA239477CE1C0000000000012, subject name: 
       cn=DC.test-cisco.com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com
    CRYPTO_PKI: OCSP responderID byKeyHash
    CRYPTO_PKI: OCSP response contains 1 cert singleResponses responseData 
       sequence.

    Found response for request certificate!
    CRYPTO_PKI: Verifying OCSP response with 1 certs in the responder chain
    CRYPTO_PKI: Validating OCSP response using trusted CA cert: serial number:
       3D4C0881B04C799F483F4BBE91DC98AE, subject name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com

    CERT-C: W ocsputil.c(538) : Error #708h
    CERT-C: W ocsputil.c(538) : Error #708h

    CRYPTO_PKI: Validating OCSP responder certificate: serial number: 
       240000001221CFA239477CE1C0000000000012, subject name: 
       cn=DC.test-cisco.com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com, signature alg: SHA1/RSA

    CRYPTO_PKI: verifyResponseSig:3191
    CRYPTO_PKI: OCSP responder cert has a NoCheck extension
    CRYPTO_PKI: Responder cert status is not revoked <-- do not verify 
       responder cert
    CRYPTO_PKI: response signed by the CA
    CRYPTO_PKI: Storage context released by thread Crypto CA

    CRYPTO_PKI: transaction GetOCSP completed 
    CRYPTO_PKI: Process next cert, valid cert. <-- client certificate 
       validated correctly
  6. 在数据包捕获级别，这是OCSP请求和正确的OCSP响应。响应包括正确的签名 — 在Microsoft OCSP上启用的nonce扩展：

    116720-config-asa-ocsp-17.png

具有多个OCSP源的ASA VPN远程访问

如果匹配证书按ASA和多个OCSP源中的说明进行配置，则优先：

CRYPTO_PKI: Processing map MAP sequence 10...
CRYPTO_PKI: Match of subject-name field to map PASSED. Peer cert field:  = 
   cn=Administrator,cn=Users,dc=test-cisco,dc=com, map rule: subject-name
   co administrator.
CRYPTO_PKI: Peer cert has been authorized by map: MAP sequence: 10.
CRYPTO_PKI: Found OCSP override match. Override URL: http://11.11.11.11/ocsp,
   Override trustpoint: OPENSSL

使用OCSP URL覆盖时，调试为：

CRYPTO_PKI: No OCSP override via cert maps found. Override was found in 
   trustpoint: WIN2012, URL found: http://10.10.10.10/ocsp.

带OCSP和撤销证书的ASA VPN远程访问

此过程介绍如何撤销证书并确认撤销状态：

  1. 撤销客户端证书：

    116720-config-asa-ocsp-18.png

  2. 发布结果：

    116720-config-asa-ocsp-19.png

  3. [可选]步骤1和2也可以在Power Shell（电源外壳）中使用certutil CLI实用程序完成：

    c:\certutil -crl
    CertUtil: -CRL command completed succesfully.
  4. 当客户端尝试连接时，出现证书验证错误：

    116720-config-asa-ocsp-20.png

  5. AnyConnect日志还指示证书验证错误：

    [2013-10-13 12:49:53] Contacting 10.48.67.229.
    [2013-10-13 12:49:54] No valid certificates available for authentication.
    [2013-10-13 12:49:55] Certificate Validation Failure
  6. ASA报告证书状态已撤销：

    CRYPTO_PKI: Starting OCSP revocation
    CRYPTO_PKI: OCSP response received successfully.
    CRYPTO_PKI: OCSP found in-band certificate: serial number: 
       240000001221CFA239477CE1C0000000000012, subject name: 
       cn=DC.test-cisco.com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com
    CRYPTO_PKI: OCSP responderID byKeyHash
    CRYPTO_PKI: OCSP response contains 1 cert singleResponses responseData 
       sequence.

    Found response for request certificate!
    CRYPTO_PKI: Verifying OCSP response with 1 certs in the responder chain
    CRYPTO_PKI: Validating OCSP response using trusted CA cert: serial number:
       3D4C0881B04C799F483F4BBE91DC98AE, subject name: cn=test-cisco-DC-CA,
       dc=test-cisco,dc=com, issuer_name: cn=test-cisco-DC-CA,dc=test-cisco,
       dc=com

    CRYPTO_PKI: verifyResponseSig:3191
    CRYPTO_PKI: OCSP responder cert has a NoCheck extension
    CRYPTO_PKI: Responder cert status is not revoked
    CRYPTO_PKI: response signed by the CA
    CRYPTO_PKI: Storage context released by thread Crypto CA

    CRYPTO_PKI: transaction GetOCSP completed

    CRYPTO_PKI: Received OCSP response:Oct 13 2013 12:48:03: %ASA-3-717027: 
       Certificate chain failed validation. Generic error occurred    , serial 
       number: 240000001B2AD208B12811687400000000001B, subject name: 
       cn=Administrator,cn=Users,dc=test-cisco,dc=com.

    CRYPTO_PKI: Blocking chain callback called for OCSP response (trustpoint:
       WIN2012, status: 1)
    CRYPTO_PKI: Destroying OCSP data handle 0xae255ac0
    CRYPTO_PKI: OCSP polling for trustpoint WIN2012 succeeded. Certificate 
       status is REVOKED    .
    CRYPTO_PKI: Process next cert in chain entered with status: 13.
    CRYPTO_PKI: Process next cert, Cert revoked: 13
  7. 数据包捕获显示证书状态为已撤销的OCSP响应成功：

    116720-config-asa-ocsp-21.png

故障排除

本部分提供的信息可用于对配置进行故障排除。

OCSP服务器关闭

ASA在OCSP服务器关闭时报告：

CRYPTO_PKI: unable to find a valid OCSP server.
CRYPTO PKI: OCSP revocation check has failed.  Status: 1800.

数据包捕获也有助于排除故障。

时间未同步

如果OCSP服务器上的当前时间比ASA上的时间早（可接受小差异），则OCSP服务器会发送未授权的响应，ASA会报告它：

CRYPTO_PKI: OCSP response status - unauthorized

当ASA从未来时间收到OCSP响应时，也会失败。

不支持已签名的NOCES

如果服务器不支持非授权（这是Microsoft Windows 2012 R2的默认设置），则返回未授权响应：

116720-config-asa-ocsp-22.png

IIS7服务器身份验证

SCEP/OCSP请求的问题通常是Internet信息服务7(IIS7)上的身份验证不正确导致的。 确保配置了匿名访问：

116720-config-asa-ocsp-23.png

相关信息

修订历史记录

版本 发布日期 备注
1.0
25-Oct-2013
初始版本
TAC Authored

由思科工程师提供

  • Michal Garcarz
    Cisco TAC Engineer.

此文档是否有帮助?

Feedback反馈

联系我们