Архитектура валидации цепочки сертификатов (PKI) и отзыв по CRL/OCSP

При использовании криптографической аутентификации на основе цифровых сертификатов X.509 (RSA/ECDSA) каждый шлюз обязан не только проверить подпись удостоверяющего центра (Certificate Authority, CA), но и удостовериться в актуальности статуса сертификата удаленного узла. Проверка выполняется двумя путями: 1) Скачивание периодических списков отзыва сертификатов (Certificate Revocation List, CRL) через точки распространения CDP (CRL Distribution Points); 2) Онлайн-запрос статуса по протоколу OCSP (Online Certificate Status Protocol, RFC 6960). Если серийный номер сертификата обнаружен в списке скомпрометированных или OCSP-ответчик возвращает статус Revoked, стек IKE немедленно отвергает соединение с генерацией фатальной ошибки CERTIFICATE_REVOKED.

Бизнес-риски

Невозможность подключения легитимных шлюзов после планового перевыпуска ключей; отключение удаленных филиалов при недоступности внешнего корпоративного сервера CA/OCSP (при строгой политике отзыва Soft/Hard Fail).

Сравнение методов проверки статуса сертификатов

Пошаговое восстановление работы PKI и устранение ошибки отзыва

Сценарий 1: Проверка серийного номера и перевыпуск сертификата

Если сертификат был отозван администратором безопасности (например, при плановом выводе оборудования из эксплуатации или подозрении на утечку закрытого ключа):

1. Сгенерируйте новый закрытый ключ и запрос на подпись (CSR) на конечном шлюзе.
2. Подпишите сертификат на доверенном корпоративном CA.
3. Установите новый сертификат в хранилище шлюза и привяжите его к профилю IPsec.

# Генерация нового CSR запроса через OpenSSL на шлюзе
openssl req -new -newkey rsa:4096 -nodes -keyout /etc/ipsec.d/private/gateway_new.key \
    -out /tmp/gateway_new.csr -subj "/CN=router-branch.corp.local/O=Company/C=RU"

# Проверка статуса сертификата через OCSP вручную
openssl ocsp -issuer ca_cert.pem -cert branch_cert.pem -url http://ocsp.corp.local:8888 -CAfile ca_cert.pem

Сценарий 2: Устранение недоступности CRL Distribution Point (CDP)

Если сертификат легитимен, но шлюз блокирует соединение из-за невозможности скачать свежий файл CRL (ошибка CRL Expired / CRL Unreachable):

# Временное переключение проверки CRL в неблокирующий режим (MikroTik RouterOS v7)
/ip ipsec profile set [find name="PROFILE_PKI"] check-certificate=yes-without-crl

# Проверка доступности URL списка отзыва (HTTP CDP)
/tool fetch url="http://pki.corp.local/crl/corp_ca.crl" dst-path=corp_ca.crl
/certificate import file-name=corp_ca.crl

Сценарий 3: Настройка тайм-аутов и кэширования CRL в Linux strongSwan

# Настройка плагина отзыва в /etc/strongswan.d/charon/revocation.conf
revocation {
    # Не разрывать туннель, если сервер CRL временно оффлайн (Soft Fail)
    crl_strict = no
    crl_cache_time = 86400
}

Типовые ошибки администраторов

• Блокировка исходящего HTTP-трафика на порт 80 для самого маршрутизатора: CDP-серверы часто публикуют CRL по протоколу HTTP. Фаервол блокирует опрос, вызывая отказ проверки сертификата.
• Истечение срока действия самого файла CRL (CRL Next Update): Если центр сертификации (Microsoft CA / FreeIPA) не сгенерировал вовремя свежий файл CRL, все зависимые шлюзы заблокируют туннели.