DirectAccess 因 CA 撤銷導致 IPsec 連線失敗

你好，

DirectAccess客户端在建立IPsec信道时必须对整个证书链进行认证。如果中继CA被撤销且客户端无法获得最新的证书撤销列表（CRL），认证将失败，导致信道无法建立。离线客户端尤其脆弱，因为它们无法通过内部LDAP或AD自动更新CRL。

解决方案是确保CRL可以通过外部可访问的HTTP/HTTPS发布。首先，检查中继CA证书的CDP（CRL分发点）设置，可以通过 certutil -dump <CA證書> 查看。 如果只有内部LDAP路径可见，您必须在CA主机的证书服务管理工具中的CA属性→扩展中添加外部HTTP路径。然后使用 certutil -crl 重新发布的CRL，将生成的CRL文件复制 %windir%\system32\certsrv\certenroll 到外部Web服务器或反向代理，使离线客户端可以通过该URL下载

需要注意的是，CRL有效期必须定期更新;否则，即使客户端能够访问外部URL，CRL也会因CRL过期而失败。建议创建定时任务，定期将最新的CRL文件同步到外部Web服务器。这样，DirectAccess客户端在重新上线时就能获得最新的撤销信息，并成功完成IPsec通道的设置。

总之，关键是将CRL发布到外部可访问的HTTP/HTTPS路径，并确保定期更新，使离线客户端在中继CA撤销后仍能正确验证证书。

多米克配音。