利用shell脚本自动加载cfca吊销列表文件v1

1、Howto 利用 S加载 CFCA 吊销列表文件自动文档修订历史版本号版本日期修订内容摘要修订人1.02011-12-26V10 测试环境通过王思南1.12012-12-29V11.3.0 测试环境通过王思南1 背景CFCA 为业的机构，在国内有较多用户。随着用户量的增长，CFCA 提供的目录查询的方式来校验用户L是否被注销的方式因为用户量过大导致难度过大，CFCA 已经不使用 L目录查询的方式为用户提供 CRL 更新服务了，转而采用 HTTPCRL 文件的方式来提供吊销列表了。在使用F5 做企业版网上双向认证的SSL 加速的用户，需要校验企业用户的是否被注销，来保障应用安全。在 F5 配置

2、CRLDP 服务器的时候，F5 只提供了 L目录的查询方式来配置 CRLDP 服务器，所以在使用 CFCA的客户需要用户手动去CRL 文件并进行更新，这大大增加了用户的工CFCA作。下面介绍一种使用S让F5 自动并更新CRL 文件，来减少用户的工作。2 实现方式2.1 V10 版使用 crontable 命令配合 S让 F5 自动去 CFCA上并自动加载的吊销列表文件。：#!/bin/bash #set -xecho =start downloading CFCA crl file= date#设定 CRL 文件存放目录 CRL_DIR=/config/ssl/ssl.crl #设定新CRL

3、文件名称 CRLNAME=$(date +%s).crlecho The new CRL File is:$CRLNAME #设定 CRLCRLFILE=#判断是否能CURLCON=curl| wc -lif $CURLCON = 0 thenecho =CFCA CRL File download failed= else#把下来的CRL 文件保存到/config/ssl/ssl.crl 下面curl $CRLFILE $CRL_DIR/$CRLNAMEecho =Loading new CFCA CRL File=#cntssl_default 为 cntssl profile 的名字，根

4、据配置自行修改手动执行：保存上面的放到/config/ssl/ssl.crl目录下面，这里名为：getCRL.sh修改权限：od a+x /config/ssl/ssl.crl/getCRL.shCrontab 配置：举例：每周日晚上 23：59 执行更新执行：crontab eb profile cntssl cntssl_default crl file $CRLNAME b saveecho =CFCA CRL File sucsfully download= fidateecho =END=2.2 V11 版#!/bin/bash #set -xdateCRLNAME=$(date +

5、%s)echo The new downloading CRL File is:$CRLNAMECURLCON=curl| wc -l if $CURLCON = 0 thenecho =CFCA CRL File download failed= elsetmsh create sys file ssl-crl $CRLNAME source-path#为 CFCA CRL地址echo =Loading new CFCA CRL File= tmsh modify ltm profile cnt-ssl test crl-file $CRLNAME #test 为 Cnt-SSL Profile 的名字echo =CFCA CRL File sucsfully download= fidateecho =END=在