对AnyConnect基于证书的身份验证进行CRL故障排除

已更新: 2024 年 1 月 12 日
文档 ID:221575

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

    简介

    本文档介绍如何对为AnyConnect基于证书的身份验证配置的证书撤销列表(CRL)进行故障排除。

    先决条件

    要求

    Cisco 建议您了解以下主题：

    • 证书颁发机构 (CA)
    • 公用密钥基础结构 (PKI)
    • FTD上的RA VPN
    • 带AnyConnect客户端的Windows 10

    使用的组件

    本文档中的信息基于以下软件版本：

    • CSR1000V - Cisco IOS® XE版本16.12.03 — 作为Cisco IOS XE CA服务器
    • NGFWv — 版本7.1.0 — 作为VPN网关
    • AnyConnect安全移动客户端4.10.07073版 — 作为VPN客户端
    • Windows 10作为本地计算机

    本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

    背景信息

    CRL使设备能够确定证书是否在证书有效期到期之前被撤销。CRL包含证书的序列号和撤销日期。Firepower线程防御(FTD)系统或其他终端设备等安全网关使用此功能通过验证证书状态来增强证书身份验证。

    拓扑

    Basic Topology that Provides Connectivity to the VPN Gateway and CA Server提供到VPN网关和CA服务器连接的基本拓扑。

    重要配置

    为了使用CRL完成基于证书的身份验证，在涉及的每台设备上使用提供的配置。

    CA路由器

    服务器证书颁发机构负责向用户颁发身份证书，以便根据VPN网关提供身份验证。 此外，路由器存储CRL数据库文件并充当CRL分发点(CDP)。

    CDP是VPN网关和其他最终用户检索CRL信息的位置。 此信息在本地缓存，仅在特定时间段内有效；当此时间到期时，将下载新的CRL。

    note-icon

    注:CRL数据库和设备有权访问CRL的位置可以位于同一设备上。但是，出于安全原因，建议将终端设备访问的CRL存储在CRL数据库以外的其他设备中。在本示例中，CA路由器存储CRL数据库并充当VPN网关的CDP。

    crypto pki server CAS
    database level complete
    no database archive
    issuer-name cn=calo_root,ou=TAC,o=cisco
    grant auto
    hash sha256
    lifetime crl 2
    lifetime certificate 300
    lifetime ca-certificate 1000
    cdp-url http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    eku server-auth client-auth 
    database url ser nvram:

    crypto pki trustpoint TP-self-signed-1507329386
    enrollment selfsigned
    subject-name cn=IOS-Self-Signed-Certificate-1507329386
    revocation-check none
    rsakeypair TP-self-signed-1507329386

    crypto pki trustpoint CAS
    revocation-check crl
    rsakeypair CAS

    interface GigabitEthernet2
    ip address 192.0.2.10 255.255.255.0
    negotiation auto

    ip http server

    ntp master 1

    VPN网关配置

    配置FTD是为了使用证书作为身份验证方法（仅限证书）为最终用户提供远程访问VPN。收到用户的身份证书后，FTD会验证证书是否由已知证书颁发机构(CA)颁发，并通过从证书中定义的CDP获取CRL来确认其有效性。

    tunnel-group local type remote-access
    tunnel-group local general-attributes
    address-pool AC_pool
    default-group-policy local_gp
    username-from-certificate use-entire-name
    tunnel-group local_test webvpn-attributes
    authentication certificate
    group-alias test enable

    Windows设备

    身份证书由CA服务器颁发，并安装到Windows设备中。

    Identity Certificate

    验证

    接下来的调试和捕获显示了使用有效证书的用户（工作场景）和使用已撤销证书的用户（非工作场景）之间的差异。

    场景 1.证书对身份验证有效

    当用户开始连接尝试时，它向FTD提供其身份证书，VPN网关验证颁发者为已知颁发机构，并开始通过HTTP/GET请求从身份证书中定义的CDP请求CRL。CA服务器回复CRL，FTD检查证书的序列号是否列出。由于CRL为空（无已撤销的证书），因此FTD接受证书为有效并允许用户进行身份验证。

    PKI[7]: Cert to verify
    PKI[7]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[8]: val status=1: cert subject: /O=cisco/OU=TAC/CN=calo_root. ctx->error: (0)ok, cert_idx: 1
    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[8]: val status=1: cert subject: /CN=desktop.example.com/unstructuredName=CA-router. ctx->error: (0)ok, cert_idx: 0
    PKI[8]: pki_ossl_find_valid_chain took 217 microsecs
    PKI[6]: Verified chain:
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[6]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[6]: ---------Certificate--------:
    Serial Number: 1 (0x1)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: O=cisco, OU=TAC, CN=calo_root


    [..output ommitted]

    CRYPTO_PKI: bitValue of KEY_USAGE = a0PKI[7]: CRYPTO_PKI:check_key_usage: Checking KU for case VPN peer certs.
    PKI[7]: CRYPTO_PKI:check_key_usage: KU bit digitalSignature is ON.
    PKI[7]: ExtendedKeyUsage OID = serverAuth NOT acceptable for usage type SSL VPN Peer
    PKI[7]: ExtendedKeyUsage OID = clientAuth acceptable for usage type: SSL VPN Peer
    PKI[7]: check_key_usage:Extended Key/Key Usage check OK
    PKI[12]: pki_ossl_revocation_check, pki_ossl_validate.c:931
    PKI[7]: Starting revocation check for session 0x06c8d45f
    PKI[12]: pki_init_revocation, pki_ossl_revocation.c:162
    PKI[12]: pki_ossl_eval_revocation, pki_ossl_validate.c:699
    PKI[7]: Evaluating session revocation status, 1 certs to check
    PKI[8]: session 0x06c8d45f, cert 0 has rev_status 0, using methods 1/3/0 at index 0
    PKI[12]: cert_revoc_exempt, pki_ossl_revocation.c:250
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[13]: pki_crl_cached, pki_ossl_crl_cache.c:1351
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[12]: pki_ossl_check_cache, pki_ossl_crl_cache.c:1269
    PKI[7]: Starting OSSL CRL cache check.
    PKI[12]: pki_ossl_crypto_build_crldp_list, pki_ossl_crl_cache.c:326
    PKI[12]: pki_get_der_cdp_ext, crypto_pki.c:1528
    PKI[14]: url_type_allowed, pki_ossl_crl_cache.c:153
    PKI[9]: Attempting to find cached CRL for CDP http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    PKI[12]: pki_ossl_SelectCRLByIssuerTimeDER, pki_ossl_crl_cache.c:1219
    PKI[14]: pki_ossl_get_name_string, pki_ossl.c:315
    PKI[9]: Select DER crl(O=cisco, OU=TAC, CN=calo_root)
    PKI[12]: pki_ossl_get_crl_internal, pki_ossl_crl_cache.c:506
    PKI[7]: CRL not cached. Initiating CRL download for cert idx 0.
    PKI[12]: do_get_crl, pki_ossl_revocation.c:85
    PKI[9]: starting CRL FSM #0
    PKI[11]: drive_fsm, pki_ossl_revocation.c:33
    PKI[8]: [Sess: 0x06c8d45f, Cert: 0] FSM: In PKICRL_InitTransaction
    PKI[12]: get_cdps, pki_crl_fsm_act.c:202
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[12]: pki_ossl_crypto_build_crldp_list, pki_ossl_crl_cache.c:326
    PKI[12]: pki_get_der_cdp_ext, crypto_pki.c:1528
    PKI[14]: url_type_allowed, pki_ossl_crl_cache.c:153
    PKI[7]: cdp: (len=58, type=URI, prot=HTTP) http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    PKI[8]: [Sess: 0x06c8d45f, Cert: 0] FSM: PKICRL_InitTransaction, Return status: 0
    PKI[8]: [Sess: 0x06c8d45f, Cert: 0] FSM: In PKICRL_NextCDP
    PKI[12]: crldl_cdp_blacklisted, pki_ossl_crl.c:1374
    PKI[12]: crl_find_pending_crl, pki_ossl_crl.c:1155
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[7]: CDP is not blacklisted
    PKI[8]: [Sess: 0x06c8d45f, Cert: 0] FSM: PKICRL_NextCDP, Return status: 0
    PKI[8]: [Sess: 0x06c8d45f, Cert: 0] FSM: In PKICRL_Request
    PKI[13]: crldp_download_pending, pki_ossl_crl.c:1184
    PKI[12]: crl_find_pending_crl, pki_ossl_crl.c:1155
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[8]: session 0x06c8d45f adding pending CRL entry for cert 0
    PKI[12]: crldp_add_pending_download, pki_ossl_crl.c:1203
    PKI[12]: crl_find_pending_crl, pki_ossl_crl.c:1155
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[12]: retrieve_crl, pki_crl_fsm_act.c:233
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[7]: CDP type HTTP
    PKI[7]: getting http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    PKI[12]: pki_ossl_crl_build_http_io, pki_ossl_crl.c:1017
    PKI[13]: pki_parse_uri, pki_ossl_uri.c:75
    PKI[14]: pki_uri_map_protocol, pki_ossl_uri.c:17
    PKI[14]: pki_uri_get_port, pki_ossl_uri.c:34
    PKI[13]: pki_free_uri, pki_ossl_uri.c:57
    PKI[11]: pki_crl_request_send_async, pki_ossl_crl.c:627
    PKI[8]: [15] IOCB allocated
    PKI[7]: PKI CRL I/O request queue result: IO_STATUS_QUEUED
    PKI[8]: [Sess: 0x06c8d45f, Cert: 0] FSM: PKICRL_Request, Return status: 0
    PKI[7]: Chain revocation status: good: 0, exempt: 0, cached: 0, revoked: 0, error: 0, pending: 1, fail-allow: 0
    PKI[9]: Async unlocked for session 0x06c8d45f
    PKI[8]: [15] Received IO request msg
    PKI[8]: [15] DNS resolve issued for 192.0.2.10
    PKI[9]: CERT API thread sleeps!
    PKI[7]: [15] DNS resolve 192.0.2.10 (192.0.2.10)
    PKI[8]: [15] Socket open success
    PKI[8]: [15] IPv4 Route lookup to 192.0.2.10 use interface outside
    PKI[8]: [15] Connect sent to 192.0.2.10 from 192.0.2.1
    PKI[12]: pki_io_cbfunc_log_revocation_check, pki_ossl_revocation.c:421
    PKI[7]: 6717056: Attempting CRL revocation check from outside:192.0.2.1/62075 to 192.0.2.10/80 using HTTP.
    PKI[8]: [15] Received Socket transmit ready msg

    ----- Begin Data Type:HTTP Request [15]
    Length: 76 -----
    47 45 54 20 2f 63 67 69 2d 62 69 6e 2f 70 6b 69 | GET /cgi-bin/pki
    63 6c 69 65 6e 74 2e 65 78 65 3f 6f 70 65 72 61 | client.exe?opera
    74 69 6f 6e 3d 47 65 74 43 52 4c 20 48 54 54 50 | tion=GetCRL HTTP
    2f 31 2e 30 0d 0a 48 6f192.0.2.10 73 74 3a 20 31 39 32 2e | /1.0..Host: 192.
    31 38 31 2e 33 2e 31 30 0d 0a 0d 0a | 0.2.10....
    ----- End Data Type:HTTP Request [15]
    Length: 76 -----
    PKI[8]: [15] Sent 76 bytes
    PKI[8]: [15] Received Socket read ready msg
    PKI[8]: [15] read 662 bytes
    PKI[8]: [15] Read EOF
    PKI[12]: pki_io_cbfunc, pki_crl_fsm_act.c:59
    PKI[7]: Callback received for vcid: 0, sess_id: 0x06c8d45f, cert_idx: 0, status: IO_STATUS_OK(1), datalen: 662
    PKI[13]: get_fsm_data, pki_ossl_revocation.c:446
    PKI[7]: [15] IOCB freed
    PKI[13]: CERT_API_QueueFSMEvent, vpn3k_cert_api.c:137
    PKI[13]: CERT_API_req_enqueue, vpn3k_cert_api.c:2913
    PKI[9]: CERT API thread wakes up!
    PKI[12]: CERT_API_Q_Process, vpn3k_cert_api.c:2811
    PKI[12]: CERT_API_process_req_msg, vpn3k_cert_api.c:2746
    PKI[8]: process msg cmd=2, session=0x06c8d45f
    PKI[9]: Async locked for session 0x06c8d45f
    PKI[11]: pki_notify_fsm_evt, pki_ossl_revocation.c:56
    PKI[11]: drive_fsm, pki_ossl_revocation.c:33
    PKI[8]: [Sess: 0x06c8d45f, Cert: 0] FSM: In PKICRL_ProcessResp
    PKI[13]: pki_ossl_util_find_http_payload, pki_ossl_utils.c:36
    PKI[8]: Received CRL of length 249 for session 0x06c8d45f, cert idx 0
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[12]: pki_ossl_crl_add_to_cache, pki_ossl_crl_cache.c:1177
    PKI[12]: pki_ossl_crypto_verify_and_insert_crl, pki_ossl_crl_cache.c:1126
    PKI[12]: pki_ossl_insert_der_crl_int, pki_ossl_crl_cache.c:1017
    PKI[8]: Inserting CRL
    PKI[14]: pki_ossl_get_crl_summary, pki_ossl.c:151
    PKI[8]: ---------CRL--------:
    Certificate Revocation List (CRL):
    Version 1 (0x0)
    Signature Algorithm: sha1WithRSAEncryption
    Issuer: /O=cisco/OU=TAC/CN=calo_root
    Last Update: Sep 24 22:18:38 2023 GMT
    Next Update: Sep 25 00:18:38 2023 GMT
    No Revoked Certificates.

    [..outout ommitted]

    PKI[7]: Evaluating session revocation status, 1 certs to check
    PKI[8]: session 0x06c8d45f, cert 0 has rev_status 3, using methods 1/3/0 at index 0
    PKI[7]: Chain revocation status: good: 0, exempt: 0, cached: 1, revoked: 0, error: 0, pending: 0, fail-allow: 0
    PKI[7]: session: 0x06c8d45f, all revocation processing complete
    PKI[5]: session: 0x06c8d45f, CRL for certificate 0 has been cached
    PKI[12]: pki_ossl_rebuild_ca_store, pki_ossl_certstore.c:194
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[12]: pki_ossl_crl_add_cache_to_store, pki_ossl_crl_cache.c:1396
    PKI[9]: OSSL certstore updated with 0 certs, 1 CRLs and 0 policies, 0 certs added to stack
    PKI[7]: session 0x06c8d45f, Starting chain validation with cached CRL checking
    PKI[12]: pki_ossl_find_valid_chain, pki_ossl_validate.c:472
    PKI[9]: Begin sorted cert chain
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: ---------Certificate--------:
    Serial Number: 1 (0x1)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: O=cisco, OU=TAC, CN=calo_root

    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[9]: End sorted cert chain
    PKI[13]: pki_ossl_get_store, pki_ossl_certstore.c:61
    PKI[12]: pki_ossl_rebuild_ca_store, pki_ossl_certstore.c:194
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: Cert to verify
    PKI[9]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[8]: val status=1: cert subject: /O=cisco/OU=TAC/CN=calo_root. ctx->error: (0)ok, cert_idx: 1
    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[8]: val status=1: cert subject: /CN=desktop.example.com/unstructuredName=CA-router. ctx->error: (0)ok, cert_idx: 0
    PKI[8]: pki_ossl_find_valid_chain took 167 microsecs
    PKI[7]: session 0x06c8d45f, Validation with CRL checking completed, status 0
    PKI[7]: session 0x06c8d45f, Revocation check complete, no revoked certs found
    PKI[12]: pki_ossl_do_callback, pki_ossl_validate.c:164
    PKI[13]: CERT_Close, vpn3k_cert_api.c:291
    PKI[8]: Close session 0x06c8d45f asynchronously
    PKI[13]: CERT_API_req_enqueue, vpn3k_cert_api.c:2913
    PKI[9]: Async unlocked for session 0x06c8d45f
    PKI[8]: No IOCB found for SOCKET CLOSE message, handle 0x5dba666
    PKI[12]: CERT_API_Q_Process, vpn3k_cert_api.c:2811
    PKI[12]: CERT_API_process_req_msg, vpn3k_cert_api.c:2746
    PKI[8]: process msg cmd=1, session=0x06c8d45f
    PKI[9]: Async locked for session 0x06c8d45f
    PKI[9]: Async unlocked for session 0x06c8d45f
    PKI[13]: pki_ossl_free_valctx, pki_ossl_validate.c:251
    PKI[13]: free_fsm_data, pki_ossl_revocation.c:225
    PKI[13]: ocsp_free_fsmdata, pki_ossl_ocsp.c:1462
    PKI[13]: free_fsm_data, pki_ossl_revocation.c:225
    PKI[13]: ocsp_free_fsmdata, pki_ossl_ocsp.c:1462
    PKI[9]: CERT API thread sleeps!
    PKI[13]: CERT_GetGroupFromSSLRule, vpn3k_cert_api.c:1672

    下一个FTD捕获显示FTD和CDP（本例中为CA服务器）之间的HTTP事务，以便检索CRL。

    Valid Certificate

    CRL Transaction

    场景 2：证书被吊销，身份验证失败

    身份证书在CA服务器中被吊销，并在CRL数据库文件中注册。但是，更新的CRL在当前CRL到期之前（配置为有效期两小时）对FTD不可用。

    CA-router#show crypto pki server CAS crl 
    Certificate Revocation List:
    Issuer: cn=calo_root,ou=TAC,o=cisco
    This Update: 22:18:38 UTC Sep 24 2023
    Next Update: 00:18:38 UTC Sep 25 2023
    Number of CRL entries: 0
    CRL size: 249 bytes

    CA-router#show crypto pki server CAS certificates 
    Serial Issued date Expire date Subject Name
    1 20:18:36 UTC Sep 24 2023 20:18:36 UTC Jun 20 2026 cn=calo_root ou=TAC o=cisco
    2 20:19:33 UTC Sep 24 2023 20:19:33 UTC Jul 20 2024 hostname=CA-router cn=desktop.example.com
    3 23:50:58 UTC Sep 24 2023 23:50:58 UTC Jul 20 2024 cn=test.cisco.com

    CA-router#crypto pki server CAS revoke 0x2
    % Certificate 02 succesfully revoked.

    CA-router#show crypto pki server CAS crl 
    Certificate Revocation List:
    Issuer: cn=calo_root,ou=TAC,o=cisco
    This Update: 23:59:32 UTC Sep 24 2023
    Next Update: 01:59:32 UTC Sep 25 2023
    Number of CRL entries: 1
    CRL size: 272 bytes
    Revoked Certificates:
    Serial Number (hex): 02
    Revocation Date: 23:59:32 UTC Sep 24 2023

    在确认CRL过期后尝试建立新连接时，证书检查与之前的场景基本相同。在FTD确认缓存中没有CRL后，请求新的CRL。收到新的CRL后，FTD会检查身份证书的序列号是否为列表的一部分。序列号被标记为已撤销，并且FTD继续拒绝对用户的访问。

    CRYPTO_PKI: bitValue of KEY_USAGE = a0PKI[7]: CRYPTO_PKI:check_key_usage: Checking KU for case VPN peer certs.
    PKI[7]: CRYPTO_PKI:check_key_usage: KU bit digitalSignature is ON.
    PKI[7]: ExtendedKeyUsage OID = serverAuth NOT acceptable for usage type SSL VPN Peer
    PKI[7]: ExtendedKeyUsage OID = clientAuth acceptable for usage type: SSL VPN Peer
    PKI[7]: check_key_usage:Extended Key/Key Usage check OK
    PKI[12]: pki_ossl_revocation_check, pki_ossl_validate.c:931
    PKI[7]: Starting revocation check for session 0x0dc288f9
    PKI[12]: pki_init_revocation, pki_ossl_revocation.c:162
    PKI[12]: pki_ossl_eval_revocation, pki_ossl_validate.c:699
    PKI[7]: Evaluating session revocation status, 1 certs to check
    PKI[8]: session 0x0dc288f9, cert 0 has rev_status 0, using methods 1/3/0 at index 0
    PKI[12]: cert_revoc_exempt, pki_ossl_revocation.c:250
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[13]: pki_crl_cached, pki_ossl_crl_cache.c:1351
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[12]: pki_ossl_check_cache, pki_ossl_crl_cache.c:1269
    PKI[7]: Starting OSSL CRL cache check.
    PKI[12]: pki_ossl_crypto_build_crldp_list, pki_ossl_crl_cache.c:326
    PKI[12]: pki_get_der_cdp_ext, crypto_pki.c:1528
    PKI[14]: url_type_allowed, pki_ossl_crl_cache.c:153
    PKI[9]: Attempting to find cached CRL for CDP http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    PKI[12]: pki_ossl_SelectCRLByIssuerTimeDER, pki_ossl_crl_cache.c:1219
    PKI[14]: pki_ossl_get_name_string, pki_ossl.c:315
    PKI[9]: Select DER crl(O=cisco, OU=TAC, CN=calo_root)
    PKI[12]: pki_ossl_get_crl_internal, pki_ossl_crl_cache.c:506
    PKI[7]: CRL not cached. Initiating CRL download for cert idx 0.
    PKI[12]: do_get_crl, pki_ossl_revocation.c:85
    PKI[9]: starting CRL FSM #0
    PKI[11]: drive_fsm, pki_ossl_revocation.c:33
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: In PKICRL_InitTransaction
    PKI[12]: get_cdps, pki_crl_fsm_act.c:202
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[12]: pki_ossl_crypto_build_crldp_list, pki_ossl_crl_cache.c:326
    PKI[12]: pki_get_der_cdp_ext, crypto_pki.c:1528
    PKI[14]: url_type_allowed, pki_ossl_crl_cache.c:153
    PKI[7]: cdp: (len=58, type=URI, prot=HTTP) http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: PKICRL_InitTransaction, Return status: 0
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: In PKICRL_NextCDP
    PKI[12]: crldl_cdp_blacklisted, pki_ossl_crl.c:1374
    PKI[12]: crl_find_pending_crl, pki_ossl_crl.c:1155
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[7]: CDP is not blacklisted
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: PKICRL_NextCDP, Return status: 0
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: In PKICRL_Request
    PKI[13]: crldp_download_pending, pki_ossl_crl.c:1184
    PKI[12]: crl_find_pending_crl, pki_ossl_crl.c:1155
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[8]: session 0x0dc288f9 adding pending CRL entry for cert 0
    PKI[12]: crldp_add_pending_download, pki_ossl_crl.c:1203
    PKI[12]: crl_find_pending_crl, pki_ossl_crl.c:1155
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[12]: retrieve_crl, pki_crl_fsm_act.c:233
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[7]: CDP type HTTP
    PKI[7]: getting http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    PKI[12]: pki_ossl_crl_build_http_io, pki_ossl_crl.c:1017
    PKI[13]: pki_parse_uri, pki_ossl_uri.c:75
    PKI[14]: pki_uri_map_protocol, pki_ossl_uri.c:17
    PKI[14]: pki_uri_get_port, pki_ossl_uri.c:34
    PKI[13]: pki_free_uri, pki_ossl_uri.c:57
    PKI[11]: pki_crl_request_send_async, pki_ossl_crl.c:627
    PKI[8]: [16] IOCB allocated
    PKI[7]: PKI CRL I/O request queue result: IO_STATUS_QUEUED
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: PKICRL_Request, Return status: 0
    PKI[7]: Chain revocation status: good: 0, exempt: 0, cached: 0, revoked: 0, error: 0, pending: 1, fail-allow: 0
    PKI[9]: Async unlocked for session 0x0dc288f9
    PKI[8]: [16] Received IO request msg
    PKI[8]: [16] DNS resolve issued for 192.0.2.10
    PKI[9]: CERT API thread sleeps!
    PKI[7]: [16] DNS resolve 192.0.2.10 (192.0.2.10)
    PKI[8]: [16] Socket open success
    PKI[8]: [16] IPv4 Route lookup to 192.0.2.10 use interface outside
    PKI[8]: [16] Connect sent to 192.0.2.10 from 192.0.2.1
    PKI[12]: pki_io_cbfunc_log_revocation_check, pki_ossl_revocation.c:421
    PKI[7]: 6717056: Attempting CRL revocation check from outside:192.0.2.1/27791 to 192.0.2.10/80 using HTTP.
    PKI[8]: [16] Received Socket transmit ready msg

    ----- Begin Data Type:HTTP Request [16]
    Length: 76 -----
    47 45 54 20 2f 63 67 69 2d 62 69 6e 2f 70 6b 69 | GET /cgi-bin/pki
    63 6c 69 65 6e 74 2e 65 78 65 3f 6f 70 65 72 61 | client.exe?opera
    74 69 6f 6e 3d 47 65 74 43 52 4c 20 48 54 54 50 | tion=GetCRL HTTP
    2f 31 2e 30 0d 0a 48 6f 73 74 3a 20 31 39 32 2e | /1.0..Host: 192.
    31 38 31 2e 33 2e 31 30 0d 0a 0d 0a | 0.2.10....
    ----- End Data Type:HTTP Request [16]
    Length: 76 -----
    PKI[8]: [16] Sent 76 bytes
    PKI[8]: [16] Received Socket read ready msg
    PKI[8]: [16] read 685 bytes
    PKI[8]: [16] Read EOF
    PKI[12]: pki_io_cbfunc, pki_crl_fsm_act.c:59
    PKI[7]: Callback received for vcid: 0, sess_id: 0x0dc288f9, cert_idx: 0, status: IO_STATUS_OK(1), datalen: 685
    PKI[13]: get_fsm_data, pki_ossl_revocation.c:446
    PKI[7]: [16] IOCB freed
    PKI[13]: CERT_API_QueueFSMEvent, vpn3k_cert_api.c:137
    PKI[13]: CERT_API_req_enqueue, vpn3k_cert_api.c:2913
    PKI[9]: CERT API thread wakes up!
    PKI[12]: CERT_API_Q_Process, vpn3k_cert_api.c:2811
    PKI[12]: CERT_API_process_req_msg, vpn3k_cert_api.c:2746
    PKI[8]: process msg cmd=2, session=0x0dc288f9
    PKI[9]: Async locked for session 0x0dc288f9
    PKI[11]: pki_notify_fsm_evt, pki_ossl_revocation.c:56
    PKI[11]: drive_fsm, pki_ossl_revocation.c:33
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: In PKICRL_ProcessResp
    PKI[13]: pki_ossl_util_find_http_payload, pki_ossl_utils.c:36
    PKI[8]: Received CRL of length 272 for session 0x0dc288f9, cert idx 0
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[12]: pki_ossl_crl_add_to_cache, pki_ossl_crl_cache.c:1177
    PKI[12]: pki_ossl_crypto_verify_and_insert_crl, pki_ossl_crl_cache.c:1126
    PKI[12]: pki_ossl_insert_der_crl_int, pki_ossl_crl_cache.c:1017
    PKI[8]: Inserting CRL
    PKI[14]: pki_ossl_get_crl_summary, pki_ossl.c:151
    PKI[8]: ---------CRL--------:
    Certificate Revocation List (CRL):
    Version 1 (0x0)
    Signature Algorithm: sha1WithRSAEncryption
    Issuer: /O=cisco/OU=TAC/CN=calo_root
    Last Update: Sep 25 00:18:09 2023 GMT
    Next Update: Sep 25 02:18:09 2023 GMT
    Number of Revoked Certificates: 1

    PKI[12]: asn1_to_unix_time, crypto_pki.c:1735
    PKI[12]: asn1_to_unix_time, crypto_pki.c:1735
    PKI[12]: pki_ossl_crypto_certc_insert_CRL, pki_ossl_crl_cache.c:735
    PKI[7]: CRL: current time is 1695601164
    PKI[7]: CRL: nextupdate time is 1695608289
    PKI[7]: CRL: lastupdate time is 1695601089
    PKI[7]: set CRL update timer with delay: 7125
    PKI[12]: pki_ossl_get_crl_internal, pki_ossl_crl_cache.c:506
    PKI[7]: the current device time: 00:19:24 UTC Sep 25 2023
    PKI[7]: the last CRL update time: 00:18:09 UTC Sep 25 2023
    PKI[7]: the next CRL update time: 02:18:09 UTC Sep 25 2023
    PKI[7]: CRL cache delay being set to: 3600000
    PKI[14]: pki_ossl_set_crl_store_dirty, pki_ossl_crl_cache.c:1441
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[12]: crldl_notify_result, pki_ossl_crl.c:1304
    PKI[12]: crl_find_pending_crl, pki_ossl_crl.c:1155
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[14]: cmp_cdp_info, pki_ossl_crl.c:1121
    PKI[13]: get_pending_crl_list, pki_ossl_crl.c:1101
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: PKICRL_ProcessResp, Return status: 0
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: In PKICRL_Callback
    PKI[12]: rev_cb, pki_ossl_validate.c:902
    PKI[7]: revocation status queued for session 0x0dc288f9 and cert_idx 0, rev_status 3
    PKI[13]: CERT_API_QueueFSMResp, vpn3k_cert_api.c:158
    PKI[13]: CERT_API_req_enqueue, vpn3k_cert_api.c:2913
    PKI[8]: [Sess: 0x0dc288f9, Cert: 0] FSM: PKICRL_Callback, Return status: 0
    PKI[9]: Async unlocked for session 0x0dc288f9
    PKI[12]: CERT_API_Q_Process, vpn3k_cert_api.c:2811
    PKI[12]: CERT_API_process_req_msg, vpn3k_cert_api.c:2746
    PKI[8]: process msg cmd=3, session=0x0dc288f9
    PKI[9]: Async locked for session 0x0dc288f9
    PKI[12]: pki_ossl_eval_revocation, pki_ossl_validate.c:699
    PKI[7]: Evaluating session revocation status, 1 certs to check
    PKI[8]: session 0x0dc288f9, cert 0 has rev_status 3, using methods 1/3/0 at index 0
    PKI[7]: Chain revocation status: good: 0, exempt: 0, cached: 1, revoked: 0, error: 0, pending: 0, fail-allow: 0
    PKI[7]: session: 0x0dc288f9, all revocation processing complete
    PKI[5]: session: 0x0dc288f9, CRL for certificate 0 has been cached
    PKI[12]: pki_ossl_rebuild_ca_store, pki_ossl_certstore.c:194
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[12]: pki_ossl_crl_add_cache_to_store, pki_ossl_crl_cache.c:1396
    PKI[9]: OSSL certstore updated with 0 certs, 1 CRLs and 0 policies, 0 certs added to stack
    PKI[7]: session 0x0dc288f9, Starting chain validation with cached CRL checking
    PKI[12]: pki_ossl_find_valid_chain, pki_ossl_validate.c:472
    PKI[9]: Begin sorted cert chain
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: ---------Certificate--------:
    Serial Number: 1 (0x1)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: O=cisco, OU=TAC, CN=calo_root

    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: ---------Certificate--------:
    Serial Number: 2 (0x2)<<<<<<<<<<<<<<<<<<<
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[9]: End sorted cert chain
    PKI[13]: pki_ossl_get_store, pki_ossl_certstore.c:61
    PKI[12]: pki_ossl_rebuild_ca_store, pki_ossl_certstore.c:194
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: Cert to verify
    PKI[9]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[6]: val status=0: cert subject: /CN=desktop.example.com/unstructuredName=CA-router. ctx->error: (23)certificate revoked, cert_idx: 0<<<<<<<<<<<<<<<<<
    PKI[14]: is_crl_error, pki_ossl_validate.c:278
    PKI[14]: is_crl_error, pki_ossl_validate.c:278
    PKI[4]: Certificate verification error: certificate revoked<<<<<<<<<<<<<<<<<<<
    PKI[14]: map_ossl_error, pki_ossl_validate.c:62
    PKI[7]: session 0x0dc288f9, Validation with CRL checking completed, status 15
    PKI[5]: session 0x0dc288f9, Error in revocation check or revoked certs found
    PKI[12]: pki_ossl_do_callback, pki_ossl_validate.c:164
    PKI[13]: CERT_Close, vpn3k_cert_api.c:291
    PKI[8]: Close session 0x0dc288f9 asynchronously
    PKI[13]: CERT_API_req_enqueue, vpn3k_cert_api.c:2913
    PKI[9]: Async unlocked for session 0x0dc288f9
    PKI[8]: No IOCB found for SOCKET CLOSE message, handle 0x1a6b367e
    PKI[12]: CERT_API_Q_Process, vpn3k_cert_api.c:2811
    PKI[12]: CERT_API_process_req_msg, vpn3k_cert_api.c:2746
    PKI[8]: process msg cmd=1, session=0x0dc288f9
    PKI[9]: Async locked for session 0x0dc288f9
    PKI[9]: Async unlocked for session 0x0dc288f9
    PKI[13]: pki_ossl_free_valctx, pki_ossl_validate.c:251
    PKI[13]: free_fsm_data, pki_ossl_revocation.c:225
    PKI[13]: ocsp_free_fsmdata, pki_ossl_ocsp.c:1462
    PKI[13]: free_fsm_data, pki_ossl_revocation.c:225
    PKI[13]: ocsp_free_fsmdata, pki_ossl_ocsp.c:1462
    PKI[9]: CERT API thread sleeps!


    [..output ommitted]

    PKI[7]: Cert to verify
    PKI[7]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[8]: val status=1: cert subject: /O=cisco/OU=TAC/CN=calo_root. ctx->error: (0)ok, cert_idx: 1
    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[8]: val status=1: cert subject: /CN=desktop.example.com/unstructuredName=CA-router. ctx->error: (0)ok, cert_idx: 0
    PKI[8]: pki_ossl_find_valid_chain took 233 microsecs
    PKI[6]: Verified chain:
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[6]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[6]: ---------Certificate--------:
    Serial Number: 1 (0x1)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: O=cisco, OU=TAC, CN=calo_root

    [..ooutput ommitted]

    CRYPTO_PKI: bitValue of KEY_USAGE = a0PKI[7]: CRYPTO_PKI:check_key_usage: Checking KU for case VPN peer certs.
    PKI[7]: CRYPTO_PKI:check_key_usage: KU bit digitalSignature is ON.
    PKI[7]: ExtendedKeyUsage OID = serverAuth NOT acceptable for usage type SSL VPN Peer
    PKI[7]: ExtendedKeyUsage OID = clientAuth acceptable for usage type: SSL VPN Peer
    PKI[7]: check_key_usage:Extended Key/Key Usage check OK
    PKI[12]: pki_ossl_revocation_check, pki_ossl_validate.c:931
    PKI[7]: Starting revocation check for session 0x1acca1bd
    PKI[12]: pki_init_revocation, pki_ossl_revocation.c:162
    PKI[12]: pki_ossl_eval_revocation, pki_ossl_validate.c:699
    PKI[7]: Evaluating session revocation status, 1 certs to check
    PKI[8]: session 0x1acca1bd, cert 0 has rev_status 0, using methods 1/3/0 at index 0
    PKI[12]: cert_revoc_exempt, pki_ossl_revocation.c:250
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[13]: pki_crl_cached, pki_ossl_crl_cache.c:1351
    PKI[13]: get_tp_from_policy, pki_ossl_policy_transition.c:230
    PKI[11]: polinfo->name: CRL-AC
    PKI[11]: tp label: Trustpool
    PKI[13]: label: CRL-AC
    PKI[12]: pki_ossl_check_cache, pki_ossl_crl_cache.c:1269
    PKI[7]: Starting OSSL CRL cache check.
    PKI[12]: pki_ossl_crypto_build_crldp_list, pki_ossl_crl_cache.c:326
    PKI[12]: pki_get_der_cdp_ext, crypto_pki.c:1528
    PKI[14]: url_type_allowed, pki_ossl_crl_cache.c:153
    PKI[9]: Attempting to find cached CRL for CDP http://192.0.2.10/cgi-bin/pkiclient.exe?operation=GetCRL
    PKI[12]: pki_ossl_SelectCRLByIssuerTimeDER, pki_ossl_crl_cache.c:1219
    PKI[14]: pki_ossl_get_name_string, pki_ossl.c:315
    PKI[9]: Select DER crl(O=cisco, OU=TAC, CN=calo_root)
    PKI[12]: pki_ossl_get_crl_internal, pki_ossl_crl_cache.c:506
    PKI[13]: is_crl_dst, pki_ossl_crl_cache.c:479
    PKI[7]: CRL for cert idx 0 found in cache
    PKI[7]: Chain revocation status: good: 0, exempt: 0, cached: 1, revoked: 0, error: 0, pending: 0, fail-allow: 0
    PKI[7]: session: 0x1acca1bd, all revocation processing complete
    PKI[5]: session: 0x1acca1bd, CRL for certificate 0 has been cached
    PKI[12]: pki_ossl_rebuild_ca_store, pki_ossl_certstore.c:194
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[7]: session 0x1acca1bd, Starting chain validation with cached CRL checking
    PKI[12]: pki_ossl_find_valid_chain, pki_ossl_validate.c:472
    PKI[9]: Begin sorted cert chain
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: ---------Certificate--------:
    Serial Number: 1 (0x1)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: O=cisco, OU=TAC, CN=calo_root

    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[9]: End sorted cert chain
    PKI[13]: pki_ossl_get_store, pki_ossl_certstore.c:61
    PKI[12]: pki_ossl_rebuild_ca_store, pki_ossl_certstore.c:194
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[13]: crypto_pki_get_ossl_env, pki_ossl.c:42
    PKI[14]: pki_ossl_get_cert_summary, pki_ossl.c:119
    PKI[9]: Cert to verify
    PKI[9]: ---------Certificate--------:
    Serial Number: 2 (0x2)
    Issuer: O=cisco, OU=TAC, CN=calo_root
    Subject: CN=desktop.example.com/unstructuredName=CA-router

    PKI[12]: pki_verify_cb, pki_ossl_validate.c:358
    PKI[6]: val status=0: cert subject: /CN=desktop.example.com/unstructuredName=CA-router. ctx->error: (23)certificate revoked, cert_idx: 0
    PKI[14]: is_crl_error, pki_ossl_validate.c:278
    PKI[14]: is_crl_error, pki_ossl_validate.c:278
    PKI[4]: Certificate verification error: certificate revoked
    PKI[14]: map_ossl_error, pki_ossl_validate.c:62
    PKI[7]: session 0x1acca1bd, Validation with CRL checking completed, status 15
    PKI[5]: session 0x1acca1bd, Error in revocation check or revoked certs found
    PKI[12]: pki_ossl_do_callback, pki_ossl_validate.c:164
    PKI[13]: CERT_Close, vpn3k_cert_api.c:291
    PKI[8]: Close session 0x1acca1bd asynchronously
    PKI[13]: CERT_API_req_enqueue, vpn3k_cert_api.c:2913
    PKI[9]: Async unlocked for session 0x1acca1bd
    PKI[12]: CERT_API_Q_Process, vpn3k_cert_api.c:2811
    PKI[12]: CERT_API_process_req_msg, vpn3k_cert_api.c:2746
    PKI[8]: process msg cmd=1, session=0x1acca1bd
    PKI[9]: Async locked for session 0x1acca1bd
    PKI[9]: Async unlocked for session 0x1acca1bd
    PKI[13]: pki_ossl_free_valctx, pki_ossl_validate.c:251
    PKI[13]: free_fsm_data, pki_ossl_revocation.c:225
    PKI[13]: ocsp_free_fsmdata, pki_ossl_ocsp.c:1462
    PKI[13]: free_fsm_data, pki_ossl_revocation.c:225
    PKI[13]: ocsp_free_fsmdata, pki_ossl_ocsp.c:1462
    PKI[9]: CERT API thread sleeps!

    下一个FTD捕获显示FTD和CDP之间的HTTP事务，以便在列表中存储了已撤销证书的情况下检索CRL。

    Certificate Revoked

    故障排除

    可以使用以下命令来确定与证书相关的更多问题：

    • 在FTD上：
    debug crypto ca 14
    • 在CA路由器上：
    debug crypto pki API
debug crypto pki callbacks
debug crypto pki messages
debug crypto pki validation
debug crypto pki error
debug crypto pki server
debug crypto pki transactions

    修订历史记录

    版本 发布日期 备注
    1.0
    22-Jan-2024
    初始版本
    TAC Authored

    由思科工程师提供

    • 安吉尔·桑切斯·加西亚
      思科TAC工程师

    此文档是否有帮助?

    Feedback反馈

    联系我们

    本文档适用于以下产品