Mikrotik.moscow [тема: CRL показывает недействительный статус]

CRL показывает недействительный статус

Sun, 09 Oct 2022 10:51:00 -0400

CRL показывает недействительный статус RouterOS в форуме RouterOS.
Та же проблема и у меня, ROS всегда показывает это красным в сертификате winbox -> CRL. Я могу использовать “tool fetch” и загрузить файл в менеджер файлов. А что делать дальше, когда файл уже в менеджере?
09.10.2022 10:51:00, homerouter.

CRL показывает недействительный статус

Thu, 02 Jun 2022 16:36:00 -0400

CRL показывает недействительный статус RouterOS в форуме RouterOS.
Мне удалось исправить загрузку CRL, перенаправив статическое разрешение DNS для “.localdomain.lan$” через внутренний DNS-сервер. Также пришлось сделать исключение, чтобы файлы CRL были доступны без SSL.
02.06.2022 16:36:00, AnrDaemon.

CRL показывает недействительный статус

Sat, 09 Apr 2022 03:36:00 -0400

CRL показывает недействительный статус RouterOS в форуме RouterOS.
У меня та же ситуация, только с GoDaddy в роли центра сертификации. Я могу спокойно скачать CRL по URL и через HTTP, и через HTTPS. Но MikroTik всё время говорит, что он недействителен... Пытался скачать с помощью fetch — показывает 0 КБ, ошибок нет. Кто-нибудь в курсе, в чём может быть дело?
09.04.2022 03:36:00, galvesribeiro.

CRL показывает недействительный статус

Wed, 12 Jan 2022 20:44:00 -0500

CRL показывает недействительный статус RouterOS в форуме RouterOS.
Команда _/tool fetch url= http://ca.final-gene.de/CA.crl_ успешно загружает файл CRL?
12.01.2022 20:44:00, sindy.

CRL показывает недействительный статус

Wed, 12 Jan 2022 20:08:00 -0500

CRL показывает недействительный статус RouterOS в форуме RouterOS.
Я столкнулся с той же проблемой. Мой CA генерирует CRL, который публикуется по адресу http://ca.final-gene.de/CA.crl. Первая проблема была в том, что RouterOS не поддерживает HTTPS, даже в версии 7.x. Сейчас CRL отмечается как недействительный. Я проверял алгоритм подписи — он уже SHA1. Так почему же CRL отмечается как недействительный? Версия RouterOS: v7.1.1
12.01.2022 20:08:00, finalgene.

CRL показывает недействительный статус

Thu, 22 Jul 2021 20:57:00 -0400

CRL показывает недействительный статус RouterOS в форуме RouterOS.
Ребята, у меня странная проблема, и я не знаю, где ещё искать. Просмотрел этот форум по вопросам CRL, вроде все случаи изучил, но мой никак не подходит.

Router OS: 6.47.7
Цель: использовать для OpenVPN и проверять сертификаты через CRL на предмет отзыва

Сертификат: сделан на базе Active Directory CA, не самоподписанный и управляется не напрямую MikroTik
Свойства сертификата: подписан внутренним CA
Флаги на MikroTik: KTL (Key, Trusted, CRL)

В хранилище сертификатов также добавлен внутренний CA с флагом Т (Trusted). Итого есть как сертификат CA (T), так и серверный сертификат OpenVPN (KTL) в хранилище MikroTik. CA имеет право подписывать CRL.

Ключ и запрос созданы на MikroTik, скачаны, отправлены в CA и подписаны на сервере CA. Потом импортированы обратно через WinBox. Всё делается через WinBox.

CRL подписан тем же CA, что и сертификат OpenVPN.
Сертификат OpenVPN содержит только одно место публикации CRL — через HTTP, а именно:
http:///CRL/CA.crl.
Это единственный URL, указанный в сертификате в разделе «CRL published at».
При импорте OpenVPN-сертификата в хранилище сертификатов URL автоматически добавился и определяется как: dynamic + invalid, с URL http:///CRL/CA.crl, а также с именем сертификата, указанным в хранилище MikroTik на вкладке «Certificates».

В настройках CRL я включил «CRL Download», но «Use CRL» пока не активировал.

Так как у меня на MikroTik настроен внешний DNS, я создал статическую DNS-запись для хоста , указывающую на IP сервера.
CRL работает и если ввести IP сервера вместо FQDN.
Проверял в терминале командой:
put [resolve ]
— которая возвращает корректный IP сервера CRL.
В теории MikroTik должен подтягивать CRL.

На веб-странице CRL не нужна авторизация для скачивания CRL.

В логах вижу:
looking for CRLs in openVPN.cer_0
found CRL http:///CRL/CA.crl
start CRL update
trust store updated
start CRL update
start CRL update
… (повторяется каждые 1 минуту)

Но всё равно CRL в WinBox показывает красным и статус «invalid». Значение revoked = unknown. Даже если вручную указать ссылку с IP адресом сервера CRL — статус остаётся «invalid».

Есть идеи, как повысить уровень отладки или это исправить?

Возможные проблемы, которые я вижу:
- Версия 6.47.7 багованная
- Не используется статический DNS для разрешения FQDN, указанного в конфиге CRL. Если это так, будет ошибка, потому что IP не будет получен. Но статическая запись работает с IP, так что, похоже, не в этом проблема.
- Что-то не так с сертификатом, CA или сертификатом OpenVPN. На стороне CA я особо ничего не могу сделать. Можно менять шаблоны для подписи сертификата, но там ничего, касающегося CRL, не настраивается — только на уровне CA. Формат менять нельзя, да и пришлось убрать другие места публикации (например LDAP, который MikroTik не поддерживает), так что остался только HTTP.
- Возможно, проблема с типом или версией CRL, или чем-то другим. Не уверен, как проверить целостность того, что принимает MikroTik.

В общем, запутался.
22.07.2021 20:57:00, lis.