TL;DR; Làm cách nào để khám phá điều gì sai với phản hồi OCSP trên Windows?
Tôi đang cố gắng cài đặt chứng chỉ mới trong Exchange Server 2019 tại chỗ. Nhưng Exchange luôn báo cáo rằng chứng chỉ mới không vượt qua kiểm tra thu hồi và sẽ không sử dụng chứng chỉ đó. Chứng chỉ mới có một chuỗi tin cậy từ chứng chỉ mới, thông qua CA trung gian đến ca gốc của tôi. Khi tôi mở chứng chỉ mới trong certmgr.msc, tôi thấy chuỗi đó và tất cả các chứng chỉ đều được báo cáo là OK trong certmgr. Tôi đã cài đặt CA gốc của mình vào cửa hàng Ủy viên chứng nhận gốc đáng tin cậy. Tôi đã cài đặt CA trung gian vào cửa hàng Cơ quan cấp chứng chỉ trung gian.
Chứng chỉ mới Quyền truy cập thông tin cơ quan URL chỉ định trình phản hồi OCSP của riêng tôi. Tôi biết đây không phải là vấn đề về kết nối hay proxy, vì tôi xem nhật ký OCSP theo thời gian thực và tôi biết kết nối đã được thực hiện, đồng thời bộ phản hồi OCSP của tôi gửi chứng nhận âOKâ. Tôi đã thử nghiệm với openssl-ocsp trên máy chủ linux và việc xác thực đó đã thành công khi tôi sử dụng lệnh openssl này:
openssl ocsp
-nhà phát hành "$ca_sub_cert_file"
-chứng chỉ "$exchangeCert"
-resp_text
-CApath "$CA_ROOTS_HASHES_DIR"
-url "http://$hostNameFull:$ocsp_port/"
Xin lưu ý rằng lệnh openssl ở trên đề cập rõ ràng đến người phát hành, và capathvà điều đó cho phép tin tưởng vào CA trung gian. Trên Windows, tôi kỳ vọng rằng việc cài đặt root-ca và CA trung gian sẽ tương tự như vậy sẽ tạo ra độ tin cậy cho phản hồi OCSP. Nhưng tôi không biết làm thế nào để kiểm tra điều này.
Điều đó không cần thiết, nhưng tôi cũng đã “cài đặt” chứng chỉ cho ocsp-Responser. Tôi đã cho phép trình hướng dẫn tự động chọn cửa hàng và tôi không thể tìm thấy nó được đặt ở đâu. Nó không xuất hiện khi tôi tìm kiếm nó trong certmgr.msc. Tôi chưa cài đặt thủ công, vì tôi không biết nên sử dụng cửa hàng nào.
Tôi nghi ngờ rằng phản hồi từ trình phản hồi OCSP openssl của tôi là sai đối với Exchange Server 2019. Lý thuyết của tôi là:
- Không thể xây dựng chuỗi tin cậy từ chứng chỉ mới đến thư mục gốc của tôi
CA
- Chuỗi được xây dựng, nhưng một trong những chứng chỉ cho
ocsp-reply, trung gian-ca hoặc root-ca không đáng tin cậy. Thậm chí
mặc dù đã cài đặt trung gian-ca và root-ca.
- OpenSSL
phản hồi không tương thích với Windows và Exchange Server 2019
Làm thế nào tôi có thể kiểm tra các lý thuyết trên? Tôi đã tìm kiếm nhật ký sự kiện của windows nhưng chúng không chứa bất kỳ đề cập nào về OCSP hoặc thu hồi.
