TL;ДР; Как узнать, что не так с ответом OCSP в Windows?
Я пытаюсь установить новый сертификат на локальном сервере Exchange Server 2019. Но Exchange всегда сообщает, что новый сертификат не прошел проверку отзыва и не будет его использовать. Новый сертификат имеет цепочку доверия от нового сертификата через промежуточный ЦС к моему корневому ЦС. Когда я открываю новый сертификат в certmgr.msc, я вижу, что эта цепочка и все сертификаты отображаются в certmgr как OK. Я установил свой корневой ЦС в хранилище «Доверенные корневые центры сертификации». Я установил промежуточный центр сертификации в хранилище «Промежуточные центры сертификации».
Новые сертификаты Доступ к авторитетной информации URL-адрес указывает мой собственный ответчик OCSP. Я знаю, что это не проблема соединения или прокси-сервера, потому что я просматриваю журналы OCSP в режиме реального времени и знаю, что соединение установлено, и мой ответчик OCSP отправляет сертификат «ОК». Я протестировал openssl-ocsp на хосте Linux, и эта проверка прошла успешно, когда я использую эту команду openssl:
ОСП OpenSSL
-эмитент "$ca_sub_cert_file"
-сертификат "$exchangeCert"
-resp_text
-CApath "$CA_ROOTS_HASHES_DIR"
-url "http://$hostNameFull:$ocsp_port/"
Обратите внимание, что приведенная выше команда openssl явно относится к эмитент, и CApath, и это позволяет доверять промежуточному ЦС. Я ожидал, что в Windows установка корневого ЦС и промежуточного ЦС аналогичным образом включит доверие к ответу OCSP. Но я не знаю, как это проверить.
В этом нет необходимости, но я также «установил» сертификат для ocsp-респондера. Разрешил визарду выбирать магазин автоматически, а куда его поставили найти не могу. Он не появляется, когда я ищу его в certmgr.msc. Я не устанавливал его вручную, потому что не знаю, какой магазин мне использовать.
Я подозреваю, что ответ моего ответчика openssl OCSP неверен для Exchange Server 2019. Мои теории таковы:
- Цепочка доверия не может быть построена от нового сертификата до моего корня
Калифорния
- Цепочка выстроена, но один из сертификатов на
ocsp-responder, промежуточный ca или root-ca не является доверенным. Даже
хотя промежуточные-ca и root-ca установлены.
- OpenSSL
ответ несовместим с Windows и/или Exchange Server 2019
Как я могу проверить вышеупомянутые теории? Я просмотрел журналы событий Windows, но в них нет упоминаний об OCSP или отзыве.
