Как настроить Apache для приема истекшего сертификата клиента с TLS v1.2?

Question

MacOS Server 5.7.1: у меня проблема со многими устройствами с истекшим сроком действия сертификата устройства идентификации Mdm (для ошибки macOS Server до 5.7.1, которая не обновляла их)

В настоящее время удаленные устройства не могут подключиться к серверу, поскольку протокол TLS 1.2 проверяет дату окончания срока действия сертификата клиента. Но для отправки нового сертификата соединение должно быть завершено, в противном случае нам придется повторно инициализировать каждый iPad, которым необходимо дистанционное управление.

Знаете ли вы, есть ли способ заставить OS X Apache принять его?

<Location "/devicemanagement/mdm/mdm_connect">
 SSLRequireSSL
 SSLVerifyClient require
 SSLVerifyDepth 2
 SSLOptions +StdEnvVars +ExportCertData +StrictRequire +OptRenegotiate +LegacyCertChainVerify
 SSLRenegBufferSize 2097152
 RequestHeader set X-PM-REMOTE_ADDR          "%{REMOTE_ADDR}s"
 RequestHeader set X-PM-SSL_CLIENT_V_REMAIN  "%{SSL_CLIENT_V_REMAIN}s"
 RequestHeader set X-PM-SSL_CLIENT_S_DN_CN   "%{SSL_CLIENT_S_DN_CN}s"
 RequestHeader set X-PM-SSL_CLIENT_VERIFY    "%{SSL_CLIENT_VERIFY}s"
 ProxyPass unix:/Library/Server/ProfileManager/Config/var/dmhttpd.sock|http://dmhttpd/devicemanagement/secure/mdm_connect
</Location>

Answer 1

Вы настроили проверочный URL-адрес устройства на обязательный сертификат. Если срок действия сертификатов устройства истек, вы можете настроить его как

SSLVerifyClient optional

И выполнить все задачи проверки в ваших сервлетах.