Параметр OCSP#

Последовательность параметров ocsp предназначена для настройки валидации OCSP цепочки сертификатов клиента.

Примечание

Если в URL-адресе OCSP responder используется DNS, то необходимо в конфигурации указать resolver для выполнения доменного имени ocsp responder.

Название	Обязательность	Описание	Возможные значения	Значение по умолчанию
`enabled`	Обязательный	Включает OCSP проверку цепочки клиентских сертификатов	Текстовое значение: `on`, `off`	—
`depth`	Обязательный	Задает глубину проверки сертификатов	Целочисленное значение, min: 1	—
`mode`	Опциональный	Задает режим проверки	`strict` — запрос будет заблокирован в случае неуспешной проверки сертификата; `flexible` — запрос не будет заблокирован	`strict`
`cache`	Опциональный	Имя и размер кэша, который хранит статус клиентского сертификата для OCSP валидации. Кэш распределяется между всеми рабочими процессами	Последовательность параметров и их значений	—
`cache.name`	Обязательный (в рамках `cache`)	Имя кэша	Текстовое значение	—
`cache.size`	Обязательный (в рамках `cache`)	Размер кэша	Текстовое значение	—
`cache.lifetime`	Опциональный	Время жизни кэша	Текстовое значение	`3600`
`use_cert_responder`	Опциональный	Определяет, использовать ли responder из сертификата (если указан)	`true`, `false`	`false`
`responder_timeout`	Опциональный	Таймаут responder	Текстовое значение	`60000ms`
`responders`	Опциональный	В качестве ключа определяется DN сертификата, подписавшего сертификат клиента, обращающегося на SOWA. В качестве значений используется массив URL-адресов OCSP responder, указанных в расширении сертификата «Authority Information Access» для проверки клиентских сертификатов для данного CA. Поддерживаются только `http://` OCSP responder. Значение должно быть уникальным	Последовательность текстовых значений	—

Пример:

ocsp:
  enabled: on
  cache:
    name: ocsp_cache
    size: 1024k
    lifetime: 1m
  mode: flexible
  depth: 100
  use_cert_responder: True 
  responder_timeout: 10000ms
  responders:
    "/O=SOLUTION.SBT/CN=Certificate Authority": # issuer DN от клиентского сертификата
      - "http://responder-host1/ca/ocsp"
      - "http://responder-host2/ca/ocsp"
      - "http://responder-host3/ca/ocsp"
    "CA 2": # issuer DN от клиентского сертификата
      - "http://127.0.0.1:111/ca"

Заполняемые переменные#

Переменная	Описание
`$ssl_ocsp_status`	Статус проверки
`$ssl_ocsp_invalid_crt_index`	Индекс сертификата, на котором проверка оказалась неуспешной
`$ssl_ocsp_invalid_crt_pem`	Сертификат, на котором проверка оказалась неуспешной
`$ssl_ocsp_crt_revocation_reason`	Причина невалидности сертификата. Возможные значения: `timeout` — таймаут при попытке опроса респондеров; `no responders configured for this ca` — отсутствие заданных респондеров в конфигурации для данного CA; `invalid response` — ошибка парсинга ответа от респондера; `certificate revoked` — сертификат был отозван; `unknown reason` — неизвестная причина; `request failed` — ошибка отправки запроса; `connection refused`