在NAC环境中使用OCSP和CRL自动化证书吊销
本技术参考指南为IT经理和网络架构师全面解析了在网络访问控制（NAC）环境中自动化证书吊销的方法。它探讨了OCSP与CRL之间的架构权衡，提供了供应商中立的实施指导，并概述了实时策略执行的业务影响。
收听本指南
查看播客转录
এক্সিকিউটিভ সামারি
হাই-ডেনসিটি পরিবেশ—যেমন হসপিটালিটি ভেন্যু, রিটেইল এস্টেট এবং পাবলিক-সেক্টর ডিপ্লয়মেন্ট—পরিচালনাকারী এন্টারপ্রাইজ আইটি ডিরেক্টর এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য, সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট একটি অত্যন্ত গুরুত্বপূর্ণ সিকিউরিটি ফ্রন্টিয়ার। যদিও IEEE 802.1X কর্পোরেট এবং BYOD ডিভাইসগুলির জন্য শক্তিশালী প্রমাণীকরণ (authentication) প্রদান করে, তবে কোনো ব্রিচ বা লঙ্ঘন না হওয়া পর্যন্ত ট্রাস্ট রিভোক বা বাতিল করার মেকানিজমটি প্রায়শই উপেক্ষিত থেকে যায়।
একটি নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (NAC) পরিবেশের মধ্যে অনলাইন সার্টিফিকেট স্ট্যাটাস প্রোটোকল (OCSP) এবং সার্টিফিকেট রিভোকেশন লিস্ট (CRL)-এর মাধ্যমে স্বয়ংক্রিয় সার্টিফিকেট রিভোকেশন, এন্ডপয়েন্ট ডিকমিশনিং এবং নেটওয়ার্ক পলিসি এনফোর্সমেন্টের মধ্যে ব্যবধান দূর করে। এই গাইডটি স্বয়ংক্রিয় রিভোকেশনের আর্কিটেকচারাল মেকানিজমগুলি অন্বেষণ করে, যেখানে CRL-এর অফলাইন রেজিলিয়েন্সের সাথে OCSP-এর রিয়েল-টাইম ক্ষমতার তুলনা করা হয়েছে।
মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM) প্ল্যাটফর্ম, সার্টিফিকেট অথরিটি (CA) এবং NAC পলিসি ইঞ্জিনের সমন্বয় ঘটিয়ে, সংস্থাগুলি জিরো-ট্রাস্ট নেটওয়ার্ক অ্যাক্সেস অর্জন করতে পারে, যেখানে আপসকৃত (compromised) বা ডিকমিশন করা ডিভাইসগুলির প্রবেশ তাৎক্ষণিকভাবে প্রত্যাখ্যান করা হয়। এই টেকনিক্যাল রেফারেন্সটি কার্যকর ডিপ্লয়মেন্ট গাইডেন্স এবং ঝুঁকি প্রশমনের কৌশল প্রদান করে এবং অন্বেষণ করে যে কীভাবে এই স্টাফ-ফেসিং সিকিউরিটি পোসচার Purple-এর Guest WiFi এবং WiFi Analytics প্ল্যাটফর্মের মতো পাবলিক-ফেসিং ইনফ্রাস্ট্রাকচারের পরিপূরক হিসেবে কাজ করে।
টেকনিক্যাল ডিপ-ডাইভ
EAP-TLS-এর সাথে IEEE 802.1X ব্যবহার করা যেকোনো এন্টারপ্রাইজ নেটওয়ার্কে, ডিভাইসগুলি শেয়ার্ড ক্রেডেনশিয়ালের পরিবর্তে ডিজিটাল সার্টিফিকেট ব্যবহার করে প্রমাণীকরণ করে। এই পদ্ধতিটি আধুনিক সিকিউরিটি আর্কিটেকচারের জন্য মৌলিক, যা ডিভাইস-বাউন্ড আইডেন্টিটি প্রদান করে এবং SCEP-এর মতো প্রোটোকলের মাধ্যমে MDM প্ল্যাটফর্মগুলির সাথে নির্বিঘ্নে একীভূত হয় (আরও পড়ার জন্য, The Role of SCEP and NAC in Modern MDM Infrastructure দেখুন)। তবে, সার্টিফিকেটের একটি নির্দিষ্ট লাইফসাইকেল থাকে। যখন কোনো ডিভাইস হারিয়ে যায়, কোনো ব্যবহারকারীকে বরখাস্ত করা হয়, বা কোনো প্রাইভেট কী আপসকৃত হয়, তখন নেটওয়ার্ক ইনফ্রাস্ট্রাকচারকে স্পষ্টভাবে নির্দেশ দিতে হবে যাতে সেই সার্টিফিকেটের উপর আর আস্থা না রাখা হয়।
এই রিভোকেশন নির্দেশিকা দুটি প্রাথমিক মেকানিজমের মাধ্যমে প্রদান করা হয়: CRL এবং OCSP।
সার্টিফিকেট রিভোকেশন লিস্ট (CRL) আর্কিটেকচার
CRL হলো সার্টিফিকেট অথরিটি দ্বারা প্রকাশিত একটি ডিজিটালি সাইন করা ফাইল, যাতে বাতিল হওয়া কিন্তু এখনও মেয়াদোত্তীর্ণ হয়নি এমন সমস্ত সার্টিফিকেটের সিরিয়াল নম্বর থাকে। NAC পলিসি ইঞ্জিন (যা RADIUS সার্ভার হিসেবে কাজ করে) পর্যায়ক্রমে HTTP বা LDAP-এর মাধ্যমে একটি CRL ডিস্ট্রিবিউশন পয়েন্ট (CDP) থেকে এই তালিকাটি ডাউনলোড করে।
EAP-TLS হ্যান্ডশেকের সময়, RADIUS সার্ভার ইনকামিং ক্লায়েন্ট সার্টিফিকেটের সিরিয়াল নম্বরটি তার লোকালি ক্যাশ করা CRL-এর সাথে মিলিয়ে দেখে। যদি সিরিয়াল নম্বরটি সেখানে উপস্থিত থাকে, তবে প্রমাণীকরণ প্রত্যাখ্যান করা হয়।
আর্কিটেকচারাল বৈশিষ্ট্য:
- অফলাইন রেজিলিয়েন্স: যেহেতু RADIUS সার্ভার CRL ক্যাশ করে রাখে, তাই CA বা CDP আনরিচেবল বা পৌঁছানোর অযোগ্য হয়ে গেলেও রিভোকেশন চেকিং চলতে থাকে।
- ল্যাটেন্সি: এর প্রধান অসুবিধা হলো রিভোকেশন এবং এনফোর্সমেন্টের মধ্যবর্তী ল্যাটেন্সি বা বিলম্ব। যদি সকাল ০৯:০০ টায় একটি সার্টিফিকেট বাতিল করা হয় এবং CRL রিফ্রেশ ইন্টারভ্যাল ২৪ ঘণ্টা হয়, তবে আপসকৃত ডিভাইসটি পরবর্তী ডাউনলোড না হওয়া পর্যন্ত নেটওয়ার্ক অ্যাক্সেস বজায় রাখে।
- থ্রুপুট ওভারহেড: হাজার হাজার সার্টিফিকেট থাকা পরিবেশে, CRL ফাইলগুলি কয়েক মেগাবাইট পর্যন্ত বড় হতে পারে, যা রিফ্রেশ সাইকেলের সময় ব্যান্ডউইথের উপর চাপ সৃষ্টি করে।
অনলাইন সার্টিফিকেট স্ট্যাটাস প্রোটোকল (OCSP) আর্কিটেকচার
OCSP রিয়েল-টাইম রিভোকেশন চেকিং সক্ষম করার মাধ্যমে CRL-এর ল্যাটেন্সি সীমাবদ্ধতাগুলি সমাধান করে। সম্পূর্ণ তালিকা ডাউনলোড করার পরিবর্তে, RADIUS সার্ভার একটি OCSP রেসপন্ডারের কাছে সার্টিফিকেট সিরিয়াল নম্বর সম্বলিত একটি টার্গেটেড কোয়েরি পাঠায়। রেসপন্ডার একটি সাইন করা স্ট্যাটাস ফেরত দেয়: Good, Revoked, অথবা Unknown।
আর্কিটেকচারাল বৈশিষ্ট্য:
- রিয়েল-টাইম এনফোর্সমেন্ট: রিভোকেশন সিদ্ধান্তগুলি তাৎক্ষণিকভাবে কার্যকর হয়। একবার CA যদি OCSP রেসপন্ডার আপডেট করে, তবে আপসকৃত ডিভাইসের পরবর্তী প্রমাণীকরণ প্রচেষ্টা ব্যর্থ হবে।
- অ্যাভেইলেবিলিটি ডিপেন্ডেন্সি: NAC পলিসি ইঞ্জিন OCSP রেসপন্ডারের উচ্চ প্রাপ্যতার (high availability) উপর নির্ভর করে। যদি রেসপন্ডার আনরিচেবল হয়, তবে নেটওয়ার্ক অ্যাডমিনিস্ট্রেটরকে অবশ্যই একটি ফেইলিওর পলিসি নির্ধারণ করতে হবে: "fail open" (অ্যাক্সেস অনুমোদন করা, সিকিউরিটির সাথে আপস করা) অথবা "fail closed" (অ্যাক্সেস প্রত্যাখ্যান করা, অ্যাভেইলেবিলিটির সাথে আপস করা)।
- OCSP স্টেপলিং: লোড এবং গোপনীয়তার উদ্বেগ প্রশমিত করতে, OCSP স্টেপলিং ক্লায়েন্ট ডিভাইসকে সাইন করা OCSP রেসপন্স ফেচ করতে এবং এটিকে TLS হ্যান্ডশেকের সাথে যুক্ত করার অনুমতি দেয়, যদিও সাপ্লিক্যান্ট সাপোর্ট ভিন্ন হতে পারে।
গেস্ট এবং অ্যানালিটিক্স প্ল্যাটফর্মের সাথে ইন্টিগ্রেশন
যেখানে OCSP এবং CRL স্টাফ এবং কর্পোরেট ডিভাইসগুলির কঠোর সিকিউরিটি প্রয়োজনীয়তাগুলি পরিচালনা করে, সেখানে পাবলিক-ফেসিং নেটওয়ার্কগুলির জন্য ভিন্ন আর্কিটেকচারের প্রয়োজন হয়। পাবলিক ভেন্যুগুলির জন্য, Purple-এর মতো একটি ডেডিকেটেড পাবলিক প্ল্যাটফর্মের সাথে একটি শক্তিশালী স্টাফ NAC একীভূত করা ব্যাপক কভারেজ নিশ্চিত করে। Purple-এর প্ল্যাটফর্ম পাবলিক সেগমেন্টের জন্য Captive Portal প্রমাণীকরণ, টার্মস-অফ-সার্ভিস গ্রহণ এবং ডেটা ক্যাপচার পরিচালনা করে, যেখানে অন্তর্নিহিত নেটওয়ার্ক ইনফ্রাস্ট্রাকচার (প্রায়শই একই ফিজিক্যাল অ্যাক্সেস পয়েন্ট এবং সুইচ) কর্পোরেট SSID-গুলির জন্য 802.1X এবং OCSP এনফোর্স করে। উভয় সেগমেন্টের জন্যই রেডিও পরিবেশ বোঝা অত্যন্ত গুরুত্বপূর্ণ; স্পেকট্রাম প্ল্যানিংয়ের জন্য Wi Fi Frequencies: A Guide to Wi-Fi Frequencies in 2026 দেখুন।
ইমপ্লিমেন্টেশন গাইড
স্বয়ংক্রিয় সার্টিফিকেট রিভোকেশন ডিপ্লয় করার জন্য PKI, MDM এবং NAC ডোমেইন জুড়ে সমন্বয় প্রয়োজন। একটি রেজিলিয়েন্ট রিভোকেশন পাইপলাইন স্থাপন করতে এই ভেন্ডর-নিউট্রাল ইমপ্লিমেন্টেশন ধাপগুলি অনুসরণ করুন।
ধাপ ১: রিভোকেশন ট্রিগার সংজ্ঞায়িত করুন
অটোমেশন এন্ডপয়েন্ট ম্যানেজমেন্ট লেয়ার থেকে শুরু হয়। নির্দিষ্ট শর্ত পূরণ হলে আপনার সার্টিফিকেট অথরিটিতে একটি রিভোকেশন API কল ট্রিগার করার জন্য আপনার MDM প্ল্যাটফর্ম (যেমন, Microsoft Intune, Jamf Pro) কনফিগার করুন:
- MDM থেকে ডিভাইস আনএনরোল করা হলে
- ডিভাইস নন-কমপ্লায়েন্ট হিসেবে চিহ্নিত হলে
- ডিরেক্টরি সার্ভিসে ইউজার অ্যাকাউন্ট নিষ্ক্রিয় করা হলে
ধাপ ২: রিভোকেশন ইনফ্রাস্ট্রাকচার কনফিগার করুন
CRL ডিপ্লয়মেন্টের জন্য:
- একটি হাইলি অ্যাভেইলেবল CDP-তে (যেমন, একটি লোড-ব্যালেন্সড ইন্টারনাল ওয়েব সার্ভার) CRL প্রকাশ করার জন্য CA কনফিগার করুন।
- আপনার ঝুঁকি সহনশীলতার উপর ভিত্তি করে CRL পাবলিকেশন ইন্টারভ্যাল সেট করুন (যেমন, প্রতি ৪ ঘণ্টা অন্তর)।
- ক্যাশ সর্বদা ফ্রেশ থাকে তা নিশ্চিত করতে পাবলিকেশন ইন্টারভ্যালের চেয়ে সামান্য কম বিরতিতে CRL ফেচ করার জন্য RADIUS সার্ভার কনফিগার করুন।
OCSP ডিপ্লয়মেন্টের জন্য:
- উচ্চ প্রাপ্যতা (high availability) নিশ্চিত করতে একটি লোড ব্যালেন্সারের পিছনে কমপক্ষে দুটি OCSP রেসপন্ডার ডিপ্লয় করুন।
- অবিলম্বে OCSP রেসপন্ডারগুলিতে রিভোকেশন আপডেট পুশ করার জন্য CA কনফিগার করুন।
- EAP-TLS প্রমাণীকরণের সময় লোড-ব্যালেন্সড OCSP ভার্চুয়াল IP কোয়েরি করার জন্য RADIUS সার্ভার কনফিগার করুন।
ধাপ ৩: ফলব্যাক পলিসি স্থাপন করুন
একটি মাত্র মেকানিজমের উপর নির্ভর করবেন না। আপনার RADIUS সার্ভারকে প্রাথমিক রিভোকেশন চেক হিসেবে OCSP ব্যবহার করার জন্য কনফিগার করুন, এবং OCSP রেসপন্ডার আনরিচেবল হলে লোকালি ক্যাশ করা CRL-এ ফলব্যাক করার ব্যবস্থা রাখুন। এটি স্বাভাবিক পরিস্থিতিতে রিয়েল-টাইম এনফোর্সমেন্ট এবং ইনফ্রাস্ট্রাকচার আউটেজের সময় অফলাইন রেজিলিয়েন্স প্রদান করে।
ধাপ ৪: ফেইলিওর বিহেভিয়ার সংজ্ঞায়িত করুন
যদি OCSP এবং ক্যাশ করা CRL উভয়ই অনুপলব্ধ থাকে, তবে RADIUS সার্ভারকে অবশ্যই সিদ্ধান্ত নিতে হবে যে কীভাবে প্রমাণীকরণ রিকোয়েস্টটি পরিচালনা করা হবে।
- হাই-সিকিউরিটি পরিবেশ (যেমন, হেলথকেয়ার ): "fail closed" কনফিগার করুন। সম্ভাব্য আপসকৃত ডিভাইসগুলিকে কানেক্ট করা থেকে বিরত রাখতে অ্যাক্সেস প্রত্যাখ্যান করুন।
- স্ট্যান্ডার্ড পরিবেশ (যেমন, ট্রান্সপোর্ট হাব): অ্যালার্টিং সহ "fail open" কনফিগার করুন। অপারেশনাল ধারাবাহিকতা বজায় রাখতে অ্যাক্সেসের অনুমতি দিন, তবে SOC-এর জন্য একটি হাই-প্রায়োরিটি অ্যালার্ট জেনারেট করুন।
বেস্ট প্র্যাকটিস
- ডেল্টা CRL ইমপ্লিমেন্ট করুন: যদি কোনো বড় পরিবেশে CRL-এর উপর নির্ভর করেন, তবে ডেল্টা CRL ইমপ্লিমেন্ট করুন। এই ফাইলগুলিতে শুধুমাত্র সর্বশেষ সম্পূর্ণ বেস CRL প্রকাশিত হওয়ার পর থেকে রিভোকেশন পরিবর্তনগুলি থাকে, যা ডাউনলোডের আকার এবং ব্যান্ডউইথ খরচ উল্লেখযোগ্যভাবে হ্রাস করে。
- OCSP ল্যাটেন্সি মনিটর করুন: EAP-TLS হ্যান্ডশেকের সময় OCSP কোয়েরিগুলি ইনলাইনে ঘটে। যদি OCSP রেসপন্ডার উত্তর দিতে 500ms সময় নেয়, তবে প্রমাণীকরণ 500ms বিলম্বিত হয়। রেসপন্ডার ল্যাটেন্সি মনিটর করুন এবং রেসপন্স টাইম কমে গেলে অনুভূমিকভাবে (horizontally) স্কেল করুন।
- শর্ট-লিভড সার্টিফিকেট: স্বয়ংক্রিয় SCEP/EST রিনিউয়ালের মাধ্যমে সার্টিফিকেটের বৈধতার মেয়াদ কমানোর কথা বিবেচনা করুন (যেমন, ১ বছর থেকে ৭ দিন)। শর্ট-লিভড সার্টিফিকেটগুলি স্বাভাবিকভাবেই দ্রুত মেয়াদোত্তীর্ণ হয়, যা শক্তিশালী রিভোকেশন ইনফ্রাস্ট্রাকচারের উপর নির্ভরতা হ্রাস করে।
- ব্রডার নেটওয়ার্ক স্ট্র্যাটেজির সাথে সামঞ্জস্য রাখুন: নিশ্চিত করুন যে আপনার NAC ডিপ্লয়মেন্ট আপনার ওয়াইড-এরিয়া নেটওয়ার্ক আর্কিটেকচারের সাথে সামঞ্জস্যপূর্ণ। আধুনিক WAN ডিজাইনের অন্তর্দৃষ্টির জন্য, SD WAN vs MPLS: The 2026 Enterprise Network Guide দেখুন।
ট্রাবলশুটিং এবং ঝুঁকি প্রশমন
স্বয়ংক্রিয় রিভোকেশনের সবচেয়ে সাধারণ ফেইলিওর মোড হলো একটি ব্রোকেন CA-থেকে-NAC পাইপলাইন, যার ফলে একটি "fail closed" ইভেন্ট ঘটে যা বৈধ ব্যবহারকারীদের লক আউট করে দেয়।
ঝুঁকি: OCSP রেসপন্ডার আউটেজ প্রশমন: একাধিক ফল্ট ডোমেইন জুড়ে একটি অ্যাক্টিভ-অ্যাক্টিভ ক্লাস্টারে রেসপন্ডারগুলি ডিপ্লয় করুন। লোড ব্যালেন্সারে ব্যাপক হেলথ চেক ইমপ্লিমেন্ট করুন যা শুধুমাত্র TCP পোর্ট 80-এর প্রাপ্যতা নয়, বরং CA ডেটাবেস কোয়েরি করার জন্য রেসপন্ডারের ক্ষমতা যাচাই করে।
ঝুঁকি: স্টেল (Stale) CRL ক্যাশ প্রশমন: নেটওয়ার্ক পার্টিশন বা CDP আউটেজের কারণে RADIUS সার্ভারগুলি সর্বশেষ CRL ডাউনলোড করতে ব্যর্থ হতে পারে। এমন মনিটরিং ইমপ্লিমেন্ট করুন যা লোকালি ক্যাশ করা CRL সংজ্ঞায়িত পাবলিকেশন ইন্টারভ্যালের চেয়ে পুরানো হলে অ্যালার্ট দেয়।
ঝুঁকি: অসম্পূর্ণ MDM রিভোকেশন প্রশমন: যদি MDM CA-তে রিভোকেশন কল ট্রিগার করতে ব্যর্থ হয়, তবে সার্টিফিকেটটি বৈধ থেকে যায়। একটি রিকনসিলিয়েশন স্ক্রিপ্ট ইমপ্লিমেন্ট করুন যা পর্যায়ক্রমে CA-এর বৈধ সার্টিফিকেটের তালিকার সাথে MDM-এর সক্রিয় ডিভাইসের তালিকার তুলনা করে এবং যেকোনো অসঙ্গতি স্বয়ংক্রিয়ভাবে বাতিল করে।
ROI এবং ব্যবসায়িক প্রভাব
স্বয়ংক্রিয় সার্টিফিকেট রিভোকেশন সিকিউরিটিকে একটি রিঅ্যাক্টিভ, ম্যানুয়াল প্রক্রিয়া থেকে একটি প্রোঅ্যাক্টিভ, স্বয়ংক্রিয় ডিফেন্স মেকানিজমে রূপান্তরিত করে।
- ঝুঁকি হ্রাস: ডিভাইস আপস এবং নেটওয়ার্ক আইসোলেশনের মধ্যবর্তী এক্সপোজার উইন্ডো দূর করার মাধ্যমে, সংস্থাগুলি ল্যাটারাল মুভমেন্ট এবং ডেটা এক্সফিলট্রেশনের ঝুঁকি উল্লেখযোগ্যভাবে হ্রাস করে। PCI DSS এবং GDPR-এর মতো ফ্রেমওয়ার্কগুলির সাথে কমপ্লায়েন্স বজায় রাখার জন্য এটি অত্যন্ত গুরুত্বপূর্ণ।
- অপারেশনাল দক্ষতা: রিভোকেশন পাইপলাইন স্বয়ংক্রিয় করার ফলে কোনো কর্মী চলে গেলে হেল্পডেস্ক স্টাফদের ম্যানুয়ালি RADIUS কনফিগারেশন বা CA ডেটাবেস আপডেট করার প্রয়োজনীয়তা দূর হয়, যা বড় এন্টারপ্রাইজগুলিতে বার্ষিক শত শত ঘণ্টা সাশ্রয় করে।
- ইউনিফাইড অ্যাক্সেস স্ট্র্যাটেজি: কর্পোরেট ডিভাইসগুলির জন্য একটি শক্তিশালী NAC পরিবেশ আইটি টিমগুলিকে আত্মবিশ্বাসের সাথে সমান্তরাল পরিষেবাগুলি ডিপ্লয় করার অনুমতি দেয়, যেমন Purple-এর অ্যানালিটিক্স-চালিত গেস্ট WiFi বা লোকেশন-ভিত্তিক পরিষেবাগুলি (দেখুন BLE Low Energy Explained for Enterprise ), কারণ তারা জানে যে কোর ইনফ্রাস্ট্রাকচারটি সুরক্ষিত।
নিচে এই বিষয়ে আমাদের টেকনিক্যাল ব্রিফিং শুনুন:
关键定义
EAP-TLS（可扩展认证协议-传输层安全）
802.1X网络认证的最安全标准，要求客户端和服务器都出示数字证书以证明其身份。
IT团队部署EAP-TLS以消除基于密码的认证带来的风险，确保只有受管理的、持有证书的设备才能连接到企业网络。
OCSP（在线证书状态协议）
一种互联网协议，用于实时获取X.509数字证书的吊销状态。
对于需要立即执行访问策略的环境至关重要，例如当员工被解雇时，其设备必须立即断开连接。
CRL（证书吊销列表）
由证书颁发机构定期发布的、包含已被吊销的证书序列号的数字签名列表。
在离线或气隙网络中用作主要吊销机制，或作为OCSP的高弹性回退机制。
OCSP装订
一种机制，客户端设备获取自己的OCSP响应并将其“装订”到TLS握手中，出示给RADIUS服务器。
减少RADIUS服务器和OCSP响应器的负载，并通过防止CA看到设备正在认证的确切时间和地点来提高隐私性。
增量CRL
一个较小的吊销列表，仅包含自上次发布完整基础CRL以来吊销的证书。
对于大型部署至关重要，以防止网络拥塞，因为完整CRL在刷新周期中可能变得非常庞大并消耗大量带宽。
CDP（CRL分发点）
证书颁发机构发布CRL供客户端和RADIUS服务器下载的位置，通常是一个HTTP或LDAP URL。
IT团队必须确保CDP高可用，并且可从所有NAC策略引擎访问；如果CDP宕机，RADIUS服务器将无法更新其缓存。
故障开放 / 故障关闭
决定当吊销基础设施（OCSP或CDP）不可达时发生什么的策略决策。故障开放允许访问；故障关闭拒绝访问。
一项关键的业务决策，在安全态势与运营正常运行时间之间取得平衡。需要IT运营和首席信息安全官双方签字。
SCEP（简单证书注册协议）
MDM平台用于在无需用户干预的情况下自动向受管设备颁发数字证书的协议。
自动化生命周期的起点。SCEP颁发证书，MDM在设备退役时稍后触发CA吊销该证书。
应用实例
一家拥有500张床位的医院网络正在从基于凭据的802.1X迁移到基于证书的EAP-TLS，适用于所有医疗物联网设备和员工笔记本电脑。首席信息安全官（CISO）要求，如果设备被报告失窃，其网络访问必须在5分钟内终止。网络团队担心如果必须持续查询外部服务，RADIUS服务器的负载会过重。应如何设计吊销架构？
医院必须部署OCSP以满足5分钟的吊销SLA，因为CRL刷新间隔在不造成严重网络开销的情况下无法可靠地达到这一目标。为解决网络团队的负载顾虑，架构应在医院的数据中心内本地部署OCSP响应器，紧邻RADIUS服务器以最小化延迟。RADIUS服务器应配置为查询本地OCSP虚拟IP。为确保弹性，RADIUS服务器必须配置回退到本地缓存的CRL，每小时更新一次。由于医疗环境的严格合规要求，故障策略必须设置为“故障关闭”。
一家拥有1200家门店的全球零售连锁店使用SCEP为销售点（POS）平板电脑颁发证书。各门店的广域网带宽有限。IT总监希望实施证书吊销，但担心在1200个分支RADIUS服务器上下载大型CRL文件会占满广域网链路。最佳部署策略是什么？
零售连锁店应采用结合增量CRL和OCSP装订的混合方法。首先，CA应配置为每周发布基础CRL，每4小时发布增量CRL（仅包含最近的吊销）。分支RADIUS服务器将在白天仅下载较小的增量CRL，从而最大限度地减少广域网影响。或者，如果POS平板电脑的EAP请求者支持，应启用OCSP装订。这将获取OCSP响应的负担从分支RADIUS服务器转移到平板电脑本身，平板电脑可以通过标准HTTPS直接从中央CA获取响应，完全绕过RADIUS服务器的处理开销。
练习题
Q1. 您的组织正在50个远程分支办公室部署802.1X。到中央数据中心的广域网链路高度拥塞且频繁丢包。您需要对分支企业笔记本电脑实施证书吊销。应选择哪种架构？
提示：考虑丢包对实时协议的影响与缓存数据的弹性。
查看标准答案
您应实施基于CRL的架构，特别是使用基础CRL和增量CRL。由于广域网链路拥塞且不可靠，实时OCSP查询会频繁超时，导致认证延迟或失败。通过配置分支RADIUS服务器在非高峰时段下载并缓存增量CRL，本地RADIUS服务器可以在认证尝试期间即时对照其缓存执行吊销检查，即使广域网链路完全中断。
Q2. 一次安全审计发现，当您的主OCSP响应器因维护而下线时，所有企业用户都被完全锁在WiFi网络之外。业务部门要求维护不应影响用户连接，但CISO拒绝将策略更改为“故障开放”。您如何解决？
提示：如果您无法更改故障策略，则必须更改服务的可用性。
查看标准答案
您必须为OCSP服务实现高可用性。部署至少一个额外的OCSP响应器，并将两者都放在负载均衡器后面。配置RADIUS服务器查询负载均衡器的虚拟IP（VIP）。在维护期间，您可以从主响应器排空连接，使其离线，负载均衡器将无缝地将所有OCSP查询路由到辅助响应器，同时满足业务正常运行时间需求和CISO的“故障关闭”指令。
Q3. 您已配置MDM在设备标记为“丢失”时自动吊销证书。您通过将一台测试iPad标记为丢失来测试系统。MDM确认吊销，但10分钟后，iPad成功连接到企业WiFi。RADIUS服务器配置为使用每24小时发布一次的CRL。根本原因是什么，如何解决？
提示：追溯吊销数据从CA到RADIUS服务器执行引擎的时间线。
查看标准答案
根本原因是CRL发布和刷新周期的延迟。虽然MDM成功通知CA吊销证书，但CA不会将该更新状态发布到CRL分发点，直到下一个24小时周期，而RADIUS服务器也不会下载它，直到其自己的缓存过期。要解决此问题，您必须迁移到OCSP进行实时检查，或者大幅减少CRL发布和下载间隔（例如，减少到1小时），以满足您所需的执行时间线。
继续阅读本系列
Staff WiFi 对比 Guest WiFi：企业网络分段最佳实践
针对 IT 领导者的全面技术指南，介绍如何对 staff 和 guest WiFi 网络进行分段。内容涵盖 VLAN 架构、802.1X 认证、防火墙策略以及安全网络设计对业务的影响。
公寓 WiFi 解决方案：面向企业的全面指南
本指南涵盖了 BTR（建设出租）和多户住宅物业中公寓 WiFi 解决方案的架构、部署和商业案例。它解释了 Identity Pre-Shared Key (iPSK) 技术如何为每位住户创建安全、隔离的网络气泡，同时支持智能设备和物联网。物业开发商、房东和 BTR 运营商将在此找到具有可行性的部署指导、投资回报率 (ROI) 数据以及实际实施场景。
Cox business managed WiFi：企业综合指南
本指南详细介绍了房地产开发商和 BTR 运营商如何利用 Cox Business 托管 WiFi 部署可扩展且安全的网络。它涵盖了网络架构、独立于厂商的硬件部署，以及将网络连接从运营烦恼转变为可靠基础设施对业务产生的影响。