Cisco Cisco Expressway

 

o

http://example.com/crl.pem

 

o

http://example.com/crl.der

 

o

http://example.com/ca.crl

 

o

https://example.com/allcrls.zip

 

o

https://example.com/allcrls.gz

 4.  Enter the Daily update time (in UTC). This is the approximate time of day when the Expressway will 

attempt to update its CRLs from the distribution points.

 5.  Click Save.

You can upload CRL files manually to the Expressway. Certificates presented by external policy servers can 
only be validated against manually loaded CRLs.

To upload a CRL file:

 1.  Go to 

.

 2.  Click Browse and select the required file from your file system. It must be in PEM encoded format.

 3.  Click Upload CRL file.

This uploads the selected file and replaces any previously uploaded CRL file.

Click Remove revocation list if you want to remove the manually uploaded file from the Expressway.

If a certificate authority's CRL expires, all certificates issued by that CA will be treated as revoked.

The Expressway can establish a connection with an OCSP responder to query the status of a particular 
certificate.The Expressway determines the OCSP responder to use from the responder URI listed in the 
certificate being verified. The OCSP responder sends a status of 'good', 'revoked' or 'unknown' for the 
certificate. 

The benefit of OCSP is that there is no need to download an entire revocation list. OCSP is supported for 
SIP TLS connections only. See below for information on how to enable OCSP.

Outbound communication from the Expressway-E is required for the connection to the OCSP responder. 
Check the port number of the OCSP responder you are using (typically this is port 80 or 443) and ensure that 
outbound communication is allowed to that port from the Expressway-E.

You must also configure how certificate revocation checking is managed for SIP TLS connections.

 1.  Go to 

.

 2.  Scroll down to the 

 section and configure the settings accordingly:

Cisco Expressway Certificate Creation and Use Deployment Guide (X8.5.2)     

Page 15 of 32

Managing certificate revocation lists (CRLs)