思科邮件安全设备(ESA)上的证书验证算法是什么？

下载选项

  • PDF     (298.8 KB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (77.6 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (62.2 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2016 年 6 月 24 日
文档 ID:200537

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

使用TLS通过思科邮件安全设备(ESA)传送邮件时，您可以选择使用“验证”(Verify)或“托管验证”(Hosted Verify)选项执行证书验证。  这是保护通过TLS传送电子邮件的关键部分，了解此验证的执行方式非常重要。

思科邮件安全设备(ESA)上的证书验证算法是什么？

实际上有两种算法，一种用于“验证”(Verify)选项，另一种用于“托管验证”(Hosted Verify)选项。  通常建议使用“托管验证”选项，因为它与更多种方案兼容。

背景信息

  • 本文档基于AsyncOS 8.0.1及更高版本。  AsyncOS的早期版本可能具有稍有不同的行为。
  • 除非另有指定，否则支持通配符匹配
  • 每个算法都会在匹配成功后停止，后续检查不会进行评估
  • CLI命令tlsverify使用“验证算法”

定义

  • CN：这是通用名称，是证书主题的一部分
  • SAN：这是X.509的主题备用名扩展。在本文档中使用时，我们特指的是SAN字段中包含的任何DNS名称。
  • 邮件域(Email Domain)：这是收件人邮件地址的域部分。  例如，在传送到“user@example.com”时，邮件域为“example.com”
  • MX主机名：这些是邮件域的MX记录的主机名
  • PTR Hostname：这是ESA连接的IP地址的DNS PTR查找返回的主机名
  • SMTP Route Hostnames：如果为此目标配置了SMTP路由，则这是SMTP路由中使用的主机名

托管验证算法

  1. 如果证书包含SAN属性，只会使用这些属性，并且会忽略CN。  仅当证书中没有SAN属性时，才会使用CN。  这符合RFC 6125。
  2. 系统会根据邮件域检查证书。
  3. 系统会根据可能存在的任何一个SMTP路由主机名检查证书。
  4. 根据MX主机名检查证书。
  5. 如果之前的任何检查均未成功，则验证失败。

验证算法

  1. 根据邮件域检查SAN属性。
  2. 系统会根据邮件域检查CN。 

    注意：不支持通配符匹配。

  3. 根据PTR主机名检查SAN属性。
  4. 如果之前的任何检查均未成功，则验证失败。

修订历史记录

版本 发布日期 备注
1.0
24-Jun-2016
初始版本
TAC Authored

由思科工程师提供

  • 约翰·海斯
    思科TAC工程师

此文档是否有帮助?

Feedback反馈

联系我们

本文档适用于以下产品