Benötigte Firewallregeln für den Onlineresponder (OCSP)

Implementiert man einen Onlineresponder (OCSP), ist oft eine Planung der im Netzwerk zu erstellenden Firewallregeln erforderlich. Nachfolgend eine Aufstellung der benötigten Firewallregeln und eventueller Fallstricke.

Der Online Responder (Online Certificate Status Protocol, OCSP) ist eine alternative Möglichkeit, Sperrstatusinformationen für Zertifikate bereitzustellen. Entitäten, die den Sperrstatus eines Zertifikats überprüfen möchten, müssen dank OCSP nicht die komplette Liste aller widerrufenen Zertifikate herunterladen, sondern können gezielt eine Anfrage für das betreffende Zertifikat an den Online Responder stellen. Für eine detailliertere Beschreibung siehe Artikel "Grundlagen Online Responder (Online Certificate Status Protocol, OCSP)".

Clients zum OCSP Responder

Clients sprechen den Onlineresponder per unverschlüsseltem HTTP an, entsprechend muss lediglich der TCP-Port 80 geöffnet werden.

Netzwerkprotokoll	Ziel-Port	Protokoll
TCP	80	Hypertext Transfer Protocol (HTTP)

OCSP Responder zur Zertifizierungsstelle

Gilt nur, wenn der Onlineresponder ein Domänenmitglied ist.

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Ganz analog zu allen anderen Clients sind die Ports für die Zertifikatbeantragung zur Zertifizierungsstelle zu öffnen. Hierüber beantragt der Onlineresponder sein Signatur-Zertifikat.

Netzwerkprotokoll	Ziel-Port	Protokoll
TCP	135	RPC Endpoint Mapper
TCP	49152-65535	RPC dynamische Ports

OCSP Responder zur Domäne

Gilt nur, wenn der Onlineresponder ein Domänenmitglied ist.

Der OCSP Responder Server ist üblicherweise ein Domänenmitglied, sodass hier die allgemeinen Regeln für die Domänenkommunikation zum Tragen kommen. Da der Onlineresponder außerdem aktiv Zertifikate beantragen muss, muss er ebenfalls mit der Domäne kommunizieren können.

Netzwerkprotokoll	Ziel-Port	Protokoll
TCP und UDP	53	Domain Name System
TCP	88	Kerberos
UDP	123	NTP
TCP	135	RPC Endpoint Mapper
TCP und UDP	389	LDAP
TCP	445	Server Message Block RPC Named Pipes
TCP	636	LDAP over SSL
TCP	3268	LDAP-GC
TCP	3269	LDAP-GC over SSL
TCP	49152-65535	RPC dynamische Ports

Wiederherstellen der Standard Windows-Firewall-Regeln

Enable-NetFirewallRule `
-Name "IIS-WebServerRole-HTTP-In-TCP"
Enable-NetFirewallRule `
-Name "IIS-WebServerRole-HTTPS-In-TCP"
Enable-NetFirewallRule `
-Name "Microsoft-Windows-OnlineRevocationServices-OcspSvc-DCOM-In"
Enable-NetFirewallRule `
-Name "Microsoft-Windows-CertificateServices-OcspSvc-RPC-TCP-In"
Enable-NetFirewallRule `
-Name "Microsoft-Windows-OnlineRevocationServices-OcspSvc-TCP-Out

Weiterführende Links:

• Benötigte Firewallregeln für Active Directory Certificate Services
• Benötigte Firewallregeln für den Registrierungsdienst für Netzwerkgeräte (NDES)
• Benötigte Firewallregeln für den Zertifikatregistrierungsrichtlinien-Webdienst (CEP)
• Benötigte Firewallregeln für den Zertifikatregistrierungs-Webdienst (CES)
• Benötigte Firewallregeln für die Zertifizierungsstellen-Webregistrierung (CAWE)