Cisco Cisco TelePresence Video Communication Server Expressway

CRL files can also be uploaded manually to the VCS. Certificates presented by external policy servers can
only be validated against manually loaded CRLs.

To upload a CRL file:

1. Go to the

page (

).

2. Click Browse and select the required file from your file system. It must be in PEM encoded format.

3. Click Upload CRL file.

This uploads the selected file and replaces any previously uploaded CRL file.

Click Remove revocation list if you want to remove the manually uploaded file from the VCS.

Note that if a certificate authority's CRL expires, all certificates issued by that CA will be treated as revoked.

You must also configure how certificate revocation checking is managed for SIP TLS connections.

1. Go to the

page (

).

2. Scroll down to the

section and configure the settings accordingly:

Controls whether revocation checking is performed for
certificates exchanged during SIP TLS connection
establishment.

We recommend that revocation
checking is enabled.

Controls whether the Online Certificate Status Protocol
(OCSP) may be used to perform certificate revocation
checking.

To use OCSP, the X.509 certificate
to be checked must contain an
OCSP responder URI.

Controls whether Certificate Revocation Lists (CRLs)
are used to perform certificate revocation checking.

CRLs can be used if the certificate
does not support OCSP.

Controls whether the download of CRLs from the CDP
URIs contained in X.509 certificates is allowed.

Controls the revocation checking behavior if the
revocation status cannot be established, for example if
the revocation source cannot be contacted.

Treat as revoked: treat the certificate as revoked (and
thus do not allow the TLS connection).

Treat as not revoked: treat the certificate as not
revoked.

Default: Treat as not revoked

Treat as not revoked ensures that
your system continues to operate
in a normal manner if the
revocation source cannot be
contacted, however it does
potentially mean that revoked
certificates will be accepted.

Certificate Creation and Use With Cisco VCS Deployment Guide (X7.2)

Page 11 of 36

Managing certificate revocation lists (CRLs)