Cisco Cisco Web Security Appliance S170 Guida Utente

思科网络安全设备 AsyncOS 8.8 用户指南

第 11 章      创建解密策略以控制 HTTPS 流量          

  根证书

步骤 5

（可选）展开 “高级配置” (Advanced configuration) 部分并配置下述设置。

步骤 6

提交 (Submit) 并确认更改 (Commit Changes)。

受信任根证书

网络安全设备随附并维护受信任根证书列表。具有受信任证书的网站无需解密。

您可以管理受信任证书列表、向其中添加证书以及在功能上将证书从列表中删除。虽然网络安全
设备不会从主列表中删除证书，但它允许在证书中覆盖信任，这可在功能上从受信任列表中删除
该证书。

字段名称

说明

OCSP 有效响应缓存
超时 (OCSP Valid 
Response Cache 
Timeout)

在重新检查有效的 OCSP 响应之前要等待的时间，以秒 (s)、分钟 (m)、
小时 (h) 或天 (d) 为单位。默认单位为秒。有效范围介于 1 秒到 7 天 
之间。

OCSP 无效响应缓存
超时 (OCSP Invalid 
Response Cache 
Timeout)

在重新检查无效的 OCSP 响应之前要等待的时间，以秒 (s)、分钟 (m)、
小时 (h) 或天 (d) 为单位。默认单位为秒。有效范围介于 1 秒到 7 天 
之间。

OCSP 网络错误缓存
超时 (OCSP 
Network Error 
Cache Timeout)

在获取响应失败后再次尝试联系 OCSP 响应方之前要等待的时间，以秒 
(s)、分钟 (m)、小时 (h) 或天 (d) 为单位。有效范围介于 1 秒到 24 小时
之间。

允许的时钟偏差 
(Allowed Clock 
Skew)

网络安全设备和 OCSP 响应方之间的时间设置中允许的最大差异，以秒 
(s) 或分钟 (m) 为单位。有效范围介于 1 秒到 60 分钟之间。

等待 OCSP 响应的最
长时间 (Maximum 
Time to Wait for 
OCSP Response)

等待来自 OCSP 响应方的响应的最长时间。有效范围介于 1 秒到 10 分钟
之间。指定更短的持续时间可减少在 OCSP 响应方不可用的情况下最终用
户访问 HTTPS 请求的延迟。

对 OCSP 检查使用
上游代理 (Use 
upstream proxy for 
OCSP checking)

上游代理的组名。

免除上游代理的服务
器 (Servers exempt 
from upstream 
proxy)

要免除的服务器的 IP 地址或主机名。可以留空。