Clients erhalten die Fehlermeldung "500 Server", wenn ein Webserver eine Zertifikatsperrliste in ISA Server 2004 erfordert.

Problembeschreibung

Wenn Sie Microsoft Internet Security and Acceleration (ISA) Server 2004 verwenden, um eine SSL-Website (Secure Sockets Layer) eines Webservers zu veröffentlichen, erhalten Clients möglicherweise die folgende Fehlermeldung:

Fehlercode: Interner Serverfehler 500. Das Zertifikat wird widerrufen. (-2146885616)

Ursache

Dieses Problem tritt auf, wenn die folgenden Bedingungen zutreffen:

Prüfungen der Zertifikatsperrliste (Certificate Revocation List, CRL) sind in ISA Server 2004 aktiviert. Weitere Informationen zum Aktivieren von Zertifikatsperrlistenprüfungen in ISA Server 2004 finden Sie weiter unten in diesem Artikel im Abschnitt "Weitere Informationen".
Die SSL-Clientzertifikatauthentifizierung ist für die Webveröffentlichungsregel aktiviert. Weitere Informationen zum Aktivieren der SSL-Clientzertifikatauthentifizierung in ISA Server 2004 finden Sie weiter unten in diesem Artikel im Abschnitt "Weitere Informationen".
Das Stammzertifikat, von dem das SSL-Serverzertifikat auf den ISA Server 2004-Weblistenern abgeleitet wird, weist keine CRL-Verteilungspunkte auf. Weitere Informationen zum Überprüfen, ob das Stammzertifikat über keine CRL-Verteilungspunkte verfügt, finden Sie weiter unten in diesem Artikel im Abschnitt "Weitere Informationen".

Lösung

Service Pack-Informationen

Um dieses Problem zu beheben, rufen Sie das neueste Service Pack für Internetsicherheit und AccelerationServer 2004 ab, und installieren Sie es.

Problemumgehung

Um dieses Problem zu umgehen, laden Sie die Zertifikatsperrliste manuell herunter, und installieren Sie sie dann im Zertifikatspeicher des lokalen Computers.

Hinweis Da die Zertifikatsperrliste nur für einen begrenzten Zeitraum gültig ist, müssen Sie in regelmäßigen Abständen eine neue Zertifikatsperrliste abrufen.

Führen Sie die folgenden Schritte aus, um eine Zertifikatsperrliste im Zertifikatspeicher des lokalen Computers zu installieren:

Melden Sie sich am Computer als Mitglied der lokalen Administratorgruppe an.
Öffnen Sie das Zertifikat-Snap-In für das Computerkonto. Gehen Sie zu diesem Zweck folgendermaßen vor:
1. Klicken Sie auf Start und auf Ausführen, geben Sie mmc ein, und klicken Sie auf OK.
2. Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen. Das Dialogfeld Snap-In hinzufügen/entfernen wird angezeigt.
3. Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen. Das Dialogfeld Eigenständiges Snap-In hinzufügen wird angezeigt.
4. Klicken Sie in der Liste Verfügbare eigenständige Snap-Ins auf Zertifikate und dann auf Hinzufügen.
5. Klicken Sie auf Computerkonto und dann auf Weiter.
6. Klicken Sie auf Lokaler Computer und dann auf Fertig stellen.
7. Klicken Sie auf Schließen und anschließend auf OK.
Erweitern Sie Zertifikate, klicken Sie mit der rechten Maustaste auf Zwischenzertifizierungsstellen, klicken Sie auf Alle Aufgaben, und klicken Sie dann auf Importieren.
Befolgen Sie die Anweisungen im Assistenten, um die Installation abzuschließen.

Weitere Informationen

Überprüfen, ob das Stammzertifikat über keine CRL-Verteilungspunkte verfügt

Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie mmc ein, und klicken Sie dann auf OK.
Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.
Klicken Sie auf Hinzufügen, Zertifikate, Hinzufügen, Computerkonto, Weiter, Fertig stellen, Schließen und ok.
Erweitern Sie Zertifikate, klicken Sie auf Vertrauenswürdige Stammzertifizierungsstellen, und klicken Sie dann auf Zertifikate.
Doppelklicken Sie auf das Stammzertifikat Ihrer Zertifikatkette, von der das ISA Server 2004 SSL Server-Zertifikat abgeleitet ist.
Vergewissern Sie sich auf der Registerkarte Details, dass das Feld CRL-Verteilungspunkte nicht verfügbar ist.

Konfigurieren von Zertifikatsperrlistenprüfungen in ISA Server 2004

Klicken Sie zum Starten der ISA Server-Verwaltung auf Start, zeigen Sie auf Alle Programme, zeigen Sie auf Microsoft ISA Server, und klicken Sie dann auf ISA Server-Verwaltung.
Erweitern Sie Den ISA Server, erweitern Sie Konfiguration, und klicken Sie dann auf Allgemein.
Klicken Sie im mittleren Bereich auf Zertifikatsperrung angeben.
Aktivieren Sie das Kontrollkästchen Überprüfen, ob eingehende Clientzertifikate nicht widerrufen wurden , und klicken Sie dann auf OK.

Aktivieren der Clientzertifikatauthentifizierung auf ISA Server 2004

Klicken Sie zum Starten der ISA Server-Verwaltung auf Start, zeigen Sie auf Alle Programme, zeigen Sie auf Microsoft ISA Server, und klicken Sie dann auf ISA Server-Verwaltung.
Erweitern Sie Den ISA-Server, und klicken Sie dann auf Firewallrichtlinie.
Klicken Sie im mittleren Bereich mit der rechten Maustaste auf die Regel, die Sie konfigurieren möchten, und klicken Sie dann auf Eigenschaften.
Klicken Sie auf der Registerkarte Listener auf Eigenschaften.
Klicken Sie auf der Registerkarte Einstellungen , und aktivieren Sie dann das Kontrollkästchen SSL aktivieren .
Klicken Sie zweimal auf OK.

Status

Microsoft hat bestätigt, dass es sich hierbei um ein Problem bei den in diesem Artikel genannten Microsoft-Produkten handelt.