Для проверки сертификата партнера по списку отозванных сертификатов (CRL) нужно:
В LSP-конфигурации
В структуре GlobalParameters задать атрибут CRLHandlingMode, при значениях этого атрибута:
• DISABLE – при проверке сертификата CRL не обрабатывается;
• OPTIONAL – используется действующий CRL из базы Продукта, либо присланный партнером по протоколу IKE. Если действующий CRL не найден, то проверка сертификата по CRL не осуществляется;
• BEST_EFFORT – в отличие от OPTIONAL, действующий CRL может быть получен по протоколу LDAP;
• ENABLE – для успешной проверки сертификата обязателен действующий CRL.
В cisco-like конфигурации
В режиме команды crypto pki trustpoint командой revocation-check задается режим использования CRL:
• revocation-check crl – для успешной проверки сертификата обязателен действующий CRL;
• revocation-check crl none - в случае отсутствия действующего CRL в базе продукта, CRL может быть получен посредством протокола LDAP. Если CRL получить не удалось – сертификат принимается;
• revocation-check none - при проверке сертификата партнера будет производиться попытка воспользоваться CRL из базы Продукта или CRL, полученным в процессе IKE обмена, но не будет производиться попытка получить его по LDAP. Если действующий CRL не найден, то сертификат партнера принимается.