W2K16 Server & OCSP Stapling

[Zenit 10]

Ich habe in Unserem Unternehmen ein Problem mit Unsere OCSP Server, ich verwende einen BizTalk Server welcher Öfters Zertifikats-Überprüfungen durchführt, sehr öfters (nicht immer) ist dieser Server nicht erreichbar, Aktuell vertritt jeder den sandpunkt das auf seiner Seite alles in Ordnung ist.

 

Mein Event log auf meinem W2K16 Server wird mit folgender Fehlermeldung gefüllt:

Zitat

Microsoft.AS4.Security.Certificates.Revocation.RevocationCheckException: Could not contact any of the 1 OCSP server(s) for certificate '***********************************************************'.

   at Microsoft.AS4.Security.Certificates.Revocation.OcspClient.GetOcspResponse(X509Certificate2 certificate)

   at Microsoft.AS4.Security.Certificates.Revocation.OcspClient.VerifyCertificate(X509Certificate2 certificate, Boolean enableChainVerification)

 

Ich habe in einem Forum folgende REG-Key Option als Lösung gesehen, welche ich auch auf meinem Server Aktiviert habe, nur leider hat mir diese Lösung nichts gebracht, der Fehler ist immer noch vorhanden, das Ziel war die OCSP Stapling Option zu aktivieren, damit mein Server den OCSP Server nicht immer kontaktieren muss.

 

Zitat

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\" -Name "EnableOcspStaplingForSni" -PropertyType DWord -Value 1

 

Wen ich den Befehl = certutil -urlcache ocsp ausführe, sehe ich nichts im Sever Cache, die cmd Ausgabe wird mir als ****  OFFLINE  **** Angezeigt.

Nach MS soll das OCSP Stapling ab W2K8 immer Aktiviert sein, was ich ehrlich gesagt nicht ganz verstehen kann.

Deshalb kann mir vielleicht einer von euch kurz erklären, wie das OCSP Stapling auf einem Windows W2K16 Server Funktioniert und wie man überprüfen kann das dieser Aktiviert ist?

 

Dafür danke ich euch schon im Voraus herzlichst.

[NilsK 2.968]

Moin,

 

ich würde eher die Frage stellen, ob dein Aufbau überhaupt OCSP braucht. Wenn du Probleme damit hast, macht Stapling es nicht besser. Entweder löst du also die eigentlichen Probleme - oder du prüfst, ob du nicht ganz auf OCSP verzichten kannst. Das Protokoll wird meist völlig missverstanden, es ist nicht nur nicht nötig, sondern in vielen Implementierungen sogar von Nachteil.

 

Gruß, Nils