我們知道明文數據在網絡上傳輸是非常不安全的，想要實現數據傳輸的安全，需要考慮以下幾個方面：
私密性：數據私密性就是對數據進行加密，即使數據被截獲也不知道內容是什麼。通過加密算法對數據進行加密。
完整性：數據完整性能夠保證數據在傳輸過程中不篡改，通過散列函數算法對數據進行完整性檢驗。
源認證：源認證能夠對數據的發送者進行驗證，確保數據發送方是合法的，通過H-MAC或數字簽名來對數據進行源認證。
不可否認性：又叫抗抵賴性，能夠保證人們不能否認自己發送數據的行爲和數據的內容，通過數字簽名來實現不可否認性。
散列函數：
散列函數也叫HASH，用於驗證數據的完整性，常見的有MD5、SHA。特點如下：
1.不等長的輸入，等長的輸出。通過HASH計算過的數據不管原始數據有多大，計算之後都是固定長度的，例如MD5計算之後都
是128位，SHA-1計算之後都是160位。同學們可以使用貝殼MD5進行計算試一下。
2.雪崩效應：原始數據只要有一點變得，得到的HASH就會不一樣。
3.單向：HASH和加密是不同的，只能從原始數據得到HASH值，而不能從HASH推算原始數據。
4.衝突避免：幾乎沒有兩個文件的HASH值是一樣的，因此能夠確保數據的唯一性。
如何使用散列函數進行完整性檢驗？
發送者首先將要發送的數據A進行HASH值計算，得到HASH值A；然後將數據A和HASH值一同打包發送給接收者，接收者收到數據後將數據A進行HASH計算，得到HASH值B，將收到的HASH值A和計算出來的HASH值B進行計算，如果一樣，則證明數據是完整的，沒有被篡改過。（這只是一個簡單的過程講解，實際計算中當然不會這麼簡單，其他問題在後面進行講解。）
加密：
加密就是把數據由明文轉換成密文的過程，發送者把明文加密後傳送給接收者，接收者進行解密再得到明文，以保證數據在傳輸過程即使被截獲了，截獲者也不能看到真實的數據，保證數據的安全。
加密算法分爲對稱加密算法和非對稱加密算法。加密算法使用相同的密鑰進行加解密，常見的算法有DES、3DES、AES等，非對稱加密算法每個設備有一對密鑰，一個公鑰和一個私鑰，公鑰加密私鑰解密，私鑰加密公鑰解密，常見的算法有RSA、DH等。
注意：這裏所說的密鑰是設備隨機產生的一串數字，並不是我們通常輸入的密碼，例如DES的密鑰長度是56位，3DES是的密鑰
長度是168位。
對稱加密算法：
對稱加密算法的優點是緊湊、速度快，通過對稱加密算法加密的數據幾乎和原來的數據一樣大，只對原數據略大一點。對稱加密算法的加密速度很快，現在的硬件設備幾乎可以達到線速轉發。因此對稱加密算法適合加密數據（即真實的要傳輸的數據）。對稱加密算法的第一個缺點是密鑰傳輸不安全，發送者要把一個數據加密後發給接收者，以DES加密算法爲例，它首先產生一個56位的密鑰，然後使用該密鑰對該明文數據進行加密，然後把加密後的數據和56位的密鑰一起打包發送給接收者；接收者收到數據後，使用發送者傳過來的密鑰對密文數據進行解密得到明文。而在這個過程中，雖然數據是被加了密的，但密鑰並沒有被加密，這跟使用明文傳輸數據就沒有什麼區別了。第二個缺點是每臺設備需要維護的密鑰數量太多，每兩臺設備維護一個密鑰，如果有5個用戶，就需要5*（5-1）/2=10個密鑰，對稱密鑰使用的密鑰數量過多，不好管理和存儲，並且，對稱加密算法不支持數字簽名。因此在加密過程中不會單純使用對稱加密算法。
非對稱加密算法：
非對稱加密算法的特點是使用一個密鑰加的密，必須使用另一個密鑰進行解密。公鑰加密，私鑰解密；私鑰加密，公鑰解密。公鑰加密的數據私鑰無法解密，私鑰加密的數據私鑰也無法密。每個非對稱加密算法的參與者，都需要首先產生一對密鑰，包括一個公鑰和一個私鑰。其中私鑰只能自己擁有，存儲在安全的地方，公鑰則分發給其他人。非對稱加密算法可以用來加密數據和對數據進行數字簽名。我們發現，對稱加密算法和非對稱加密算法都有各自的優點和缺點，那麼解決方案就是使用非對稱加密算法來加密對稱加密算法產生的密鑰，十分安全；用對稱加密算法來加密真實的數據，緊湊、速度快又安全，這就是我們通常在實際環境中使用的解決辦法。但這時還遇到一個問題，就是發送者如何拿到接收者的公鑰？由於引入今天的主角，PKI。PKI用於解決大範圍部署公鑰的場景，解決公鑰分發的問題。
數字簽名：
在說數字簽名之前先說普通的簽名，現實中,一般採用簽名的方式,使信息不可抵賴,例如,合同談判,銀行取款等,都採用了用戶簽名的形式,證明這個信息確實發生過。那麼,在網絡通信中,通常使用數字簽名實現信息的不可否認性.表明這個信息確實發生過。數字簽名的過程就是發送者張三把要發送的數據進行HASH值A，然後把HASH後的數據用私鑰進行加密，這個用私鑰加密的過程就是數字簽名的過程，這個加密後的結果就叫做數字簽名。接着把要發送的數據和數字簽名發送給接收者，接收者用發送者的公鑰進行解密，得到HASH值B，如果HASH值A等於HASH值B,則證明這個數據一定是發送者張三發送過來的，張三不能抵賴他沒有發送過這個數據，這就是不可否認性。
PKI
PKI（Publice Key Infrastructure）PKI是一個技術框架，不是一項具體的技術，是爲了支持大範圍部署公鑰，爲頒發證書而推出的一系列軟、硬件措施。
CA(Certificate Authority)服務器是用來頒發證書的一臺服務器。
證書（Certificates）中包含設備的公鑰和CA的數字簽名。證書可以分爲爲設備申請證書和爲人人申請證書，爲設備申請證書就是爲路由器、交換機、服務器、個人PC申請一張證書，是基於Device的證書，常見應用有***、802.1X認證等；而個人證書是基於用戶，例如銀行網銀使用的U盾、***使用的智通卡(SmartCard)等。
數字證書包含的主要內容：
1.個人信息（Identity）:姓名、公司、部門等信息
2.屬性（Attributes）：
3.公鑰（Public Key）：設備或個人的公鑰
4.CA的數字簽名（Signature）：CA對上述信息的HASH值做的數字簽名
證書服務器證明某一公鑰和某一實體之間有關聯關係，並且限制這一證書的使用範圍。（注意：公鑰是明文的）
PKI相關標準：
X.509v3：X.509v3是一個互聯網PKI標準，基於層次化的PKI模型，是IETF關於PKI的標準。
X.500：是一個目錄命名標準。
PEM編碼：PEM是一個標準的證書文件編碼格式
SCEP：簡單在線證書申請協議，主要爲設備在線申請證書，原先是思科私有技術，後來公有化，特點如下：
1.主要用於在線證書申請
2.主要由Cisco設計的技術
3.***設備PKI證書申請的工業標準
4.使用HTTP協議傳輸
5.被大多數***和CA廠商支持
6.爲***設備（***最終用戶）提供簡單而功能強大證書申請方式
PKCS#7：PKCS系列的標準是RSA Security公司的標準，並非工業標準。PKCS#7的文件擴展名是.p7b .p7c。PKCS#7是一個封閉
數據的標準，在一個PKCS#7封裝裏邊，可以放置一個用戶證書頒發服務器的根證書
PKCS#10：PKCS#10是一個編碼方式，是離線申請證書的方法。
PKCS#12：用於在一個單一文件中交換公共和私有對象,它可以包含證書和關聯的私鑰。它提供 了一個加密機制，因此私鑰是
能夠被保護的。Cisco優先承載使用這種模式來承載PKI資料。在NVROM中，思科建議你把它進行保存，擴展名.p12(cisco)。在
微軟的中擴展名爲.pfx(microsoft)
證書服務器介紹：
證書服務器分爲兩種，一種是公共證書服務器，即它在全球範圍內提供證書頒發，並且多數操作系統在出廠的時候即安裝它們
的根證書。公共證書的優勢是一旦申請，全局受信任；問題是需要付費使用，審覈較嚴，且證書的內容和使用受到限制。另一
種證書服務器是私有證書服務器，它的優點是免費，且使用不受限制，問題是所要使用的實體都需要安裝私有證書服務器的根證書。
註冊授權服務器（RA）介紹：
RA的主要作用是分擔CA的壓力，降低CA的負擔，它是CA的前端代理。
RA的角色與功能：
1.接收證書請求
2.驗證請求者身份
信任關係：
1.請求者和RA之間不需要建立信任關係，因爲RA並不簽名任何證書；
2.RA和CA之間需要有信任關係。
密鑰和證書的存儲：
一般系統使用密碼保護私鑰，當一個用戶解鎖私鑰，並且加載到內存的時候，其他用戶可以通過讀取內存的方式來竊取私鑰。
使用smartcards更爲安全和靈活，頒發證書到用戶而不是系統。
Anyconnect用微軟的證書存儲，IPSEC ***有自己的證書存儲位置
在linux，每個運行程序有自己的存儲位置
思科IOS證書與密鑰通過文件被存儲在NVRAM中，不存在FLASH中，做密碼恢復操作，私鑰被刪除
在ASA OS中，證書與密鑰通過隱藏文件存儲在FLASH中。
PKI處理流程與步驟
第一步：同步時間
時間同步，必須要先確保參加PKI系統的設備和主機的時間同步，才能開始PKI的部署。一般是通過NTP進行配置。
第二步：部署證書服務器
第三步：客戶端產生密鑰對（公鑰、私鑰）
第四步：驗證證書服務器
每一個實體需要獲取證書服務器的根證書，裏邊包含證書服務器的公鑰。獲取了根證書之後，可以通過fingerprint 離線驗證證書服務器。
第五步：申請個人證書
第六步：審覈並簽名證書
管理員對每一個證書請求進行審覈，並且對個人信息和公鑰內容進行數字簽名，簽名後的文件即爲數字證書
第七步：頒發數字證書
證書服務器把個人證書進行頒發
通過證書驗證的L2L ***實驗：
以下通過一個實驗來加深對證書的理解。
拓撲圖如下：
實驗目標：
R1模擬北京部分的路由器，R3模擬上海分公司，R2模擬ISP。R1和R3使用默認路由指向R2，R2並且承擔了CA的功能。通過證書認證，R1和R3完成L2L的***。最終，R1身後的1.1.1.1和R3身後的3.3.3.3能夠互通。
基本配置如下：
R1的基本配置：
R1(config)#int f0/0
R1(config-if)#ip add 12.1.1.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#int lo 0
R1(config-if)#ip add 1.1.1.1 255.255.255.0
R1(config-if)#ip route 0.0.0.0 0.0.0.0 12.1.1.2
R2的基本配置：
R2(config)#int f0/0
R2(config-if)#ip add 12.1.1.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#int f1/0
R2(config-if)#ip add 23.1.1.2 255.255.255.0
R2(config-if)#no shut
R3的基本配置：
R3(config)#int f1/0
R3(config-if)#ip add 23.1.1.3 255.255.255.0
R3(config-if)#no shut
R3(config-if)#int lo 0
R3(config-if)#ip add 3.3.3.3 255.255.255.0
R3(config-if)#ip route 0.0.0.0 0.0.0.0 23.1.1.2
第一步：同步時間
時間同步，必須要先確保參加PKI系統的設備和主機的時間同步，才能開始PKI的部署。一般是通過NTP進行配置。將R2配置爲NTP的Server，R1和R3做爲NTP的Client端與R2同步時間。
配置時間：
R2(config)#clock timezone BJ +8 //配置時區
R2(config)#end
R2#clock set 9:47:00 11 sep 2015 //爲R2配置時間
R2(config)#ntp master //將R2配置爲NTP服務器
R1(config)#clock timezone BJ +8
R1(config)#ntp server 12.1.1.2 //將R1配置爲Client，與R2同步時間
R3配置同R1。
然後通過show clock和show ntp status命令查看R1和R3的時間是正確，NTP是否正常同步。
R1#show ntp status
Clock is synchronized, stratum 9, reference is 12.1.1.2
nominal freq is 250.0000 Hz, actual freq is 250.0000 Hz, precision is 2**18
reference time is D99CB2F2.A7B43774 (09:54:58.655 BJ Fri Sep 11 2015)
clock offset is 1.3695 msec, root delay is 24.11 msec
root dispersion is 26.66 msec, peer dispersion is 25.27 msec
第二步：部署證書服務器
使用思科IOS做爲CA服務器，思科使用SCEP協議，爲設備頒發證書。
R2配置如下：
R2(config)#ip http server //SCEP使用HTTP協議，在IOS必須開啓HTTP協議
R2(config)#crypto pki server Root-CA
R2(cs-server)#issuer-namecn=root-ca.cisco.com, ou=department, l=location, cn=country
// 頒發者的個人信息，不填也可以
R2(cs-server)#no shut
%Some server settings cannot be changed after CA certificate generation.
% Please enter a passphrase to protect the private key
% or type Return to exit
Password: //輸入一個密碼，把私鑰等信息導入到PKCS#12，用這個密碼保護這些 內容。
Re-enter password:
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
% Exporting Certificate Server signing certificate and keys...
% Certificate Server enabled.
R2(cs-server)#
Sep 11 03:00:28.775: %SSH-5-ENABLED: SSH 1.99 has been enabled
Sep 11 03:00:29.223: %PKI-6-CS_ENABLED: Certificate server now enabled.
進行驗證
R2#show crypto pki server
Certificate Server Root-CA:
Status: enabled //狀態是開啓的
State: enabled
Server's configuration is locked (enter "shut" to unlock it)
Issuer name: cn=root-ca.cisco.com, ou=department, l=location, cn=country
//剛剛配置的個人信息
CA cert fingerprint: 97E53620 5CA7AFE4 83FB4A1B 0AD18BE3
//CA證書的fingerprint，就是MD5值，在R1和R3申請根證書的時候會看到該值，並需要人工驗證，用於驗證根證書。
Granting mode is: manual
//頒發證書的模式是手動
Last certificate issued serial number: 0x1
CA certificate expiration timer: 11:00:28 BJ Sep 10 2018
//CA證書超時時間
CRL NextUpdate timer: 17:00:29 BJ Sep 11 2015
//吊銷列表下一次更新的時間
Current primary storage dir: nvram:
//證書的存儲位置
Database Level: Minimum - no cert data written to storage
第三步：客戶端產生密鑰對（公鑰、私鑰）
R1(config)#ip domain name cisco.com
R1(config)#crypto key generate rsa modulus 512 label r1-key exportable
產生一對512位的密鑰，label名稱爲r1-key，可導出
The name for the keys will be: r1-key
% The key modulus size is 512 bits
% Generating 512 bit RSA keys, keys will be exportable...[OK]
查看R1的KEY
R1#show crypto key mypubkey rsa
% Key pair was generated at: 11:08:17 BJ Sep 11 2015
Key name: r1-key
Storage Device: not specified
Usage: General Purpose Key
Key is exportable.
Key Data:
305C300D 06092A86 4886F70D 01010105 00034B00 30480241 00F07D69 1F75C5CB
9D719CC6 06DCCB67 39D5FACE A7A86F59 D4938C4F D6FD8450 9058DB33 15CF6F07
3671FAC5 7A252036 65AE40D2 EFF1E43A A9941893 EBEDBC3A AB020301 0001
% Key pair was generated at: 11:08:18 BJ Sep 11 2015
Key name: r1-key.server //這個KEY是用於SSH加密的
Temporary key
Usage: Encryption Key
Key is not exportable.
Key Data:
307C300D 06092A86 4886F70D 01010105 00036B00 30680261 0097651A 79E09C95
7F76D914 C97B305B 661EC0B1 813789EC 213A3262 E683CF39 BC1B3607 7493A419
8DABB08C AC4E8342 CDD332CA 6080F4D1 FF50C2FE 5BE2D4E3 27B2CF0D 45167836
8B26CBF7 3DB29104 06C0173C BBB9A04D 52A6E64D 07AAE9CF F7020301 0001
R3(config)#ip domain name cisco.com
R3(config)#crypto key generate rsa modulus 1024 label r3-key
The name for the keys will be: r3-key
% The key modulus size is 1024 bits
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
第四步：驗證證書服務器
每一個實體需要獲取證書服務器的根證書，裏邊包含證書服務器的公鑰。獲取了根證書之後，可以通過fingerprint 離線驗證證書服務器。
R1(config)#crypto pki trustpoint CA //建立一個信任點，可以建立多個信任點
R1(ca-trustpoint)#enrollment url http://12.1.1.2
R1(ca-trustpoint)#subject-name cn=r1.cisco.com, ou=sales, l=beijing, c=cn
R1(ca-trustpoint)#rsakeypair r1-key
R1(config)#crypto pki authenticate CA //對這個信任點進行認證
Certificate has the following attributes:
Fingerprint MD5: 97E53620 5CA7AFE4 83FB4A1B 0AD18BE3
Fingerprint SHA1: E757CA6D 280AA2F5 7F25CCB4 56D0384A C2B46D54
//得到根證書後，計算出HASH值，這時候應該聯繫管理員，或登錄網站查看根證書的HASH值是否一致。與在R2上show crypto pki server中的MD5值一致即驗證成功。
% Do you accept this certificate? [yes/no]: yes //驗證成功後輸入yes
Trustpoint CA certificate accepted. //根證書接受成功。
驗證根證書：
R1#show crypto pki certificates
CA Certificate
Status: Available
Certificate Serial Number: 0x1
Certificate Usage: Signature
Issuer:
cn=root-ca.cisco.com
ou=department
l=location
cn=country
Subject:
cn=root-ca.cisco.com
ou=department
l=location
cn=country
Validity Date:
start date: 11:00:28 BJ Sep 11 2015
end date: 11:00:28 BJ Sep 10 2018
Associated Trustpoints: CA
R3同理進行此操作
第五步：申請個人證書
R1和R3分別申請個自的個人證書。
R1申請證書：
R1(config)#crypto pki enroll CA //輸入該命令，這裏在的CA是trustpint的名稱
%
% Start certificate enrollment ..
% Create a challenge password. You will need to verbally provide this
password to the CA Administrator in order to revoke your certificate.
For security reasons your password will not be saved in the configuration.
Please make a note of it.
Password: //如果SCEP服務器是IOS，這裏的密碼沒用，直接回車即可，微軟證書服務器會有用
Re-enter password:
% The subject name in the certificate will include: cn=r1.cisco.com, ou=sales, l=beijing, c=cn
% The subject name in the certificate will include: R1.cisco.com
% Include the router serial number in the subject name? [yes/no]: yes
% The serial number in the certificate will be: JAB0446C0L2
% Include an IP address in the subject name? [no]: no
Request certificate from CA? [yes/no]: yes
% Certificate request sent to Certificate Authority
% The 'show crypto ca certificate CA verbose' commandwill show the fingerprint.
R1(config)#
Sep 11 03:20:39.910: CRYPTO_PKI: Certificate Request Fingerprint MD5: 76E94F8D 4F1387BF F5DAEA77 832AA738
Sep 11 03:20:39.914: CRYPTO_PKI: Certificate Request Fingerprint SHA1: CA558C58 C3B71AA9 8765A21D 8FE5C638 DEA50D71
//以上信息是HASH的信息，應該發送給管理員，管理員確認後進行證書頒發。
第六步：審覈、簽名證書
管理員對每一個證書請求進行審覈，並且對個人信息和公鑰內容進行數字簽名，簽名後的文件即爲數字證書
在R2上查看證書的申請：
R2#crypto pki server Root-CA info requests //注意“Root-CA”是CA服務器名字，這裏區分大小寫
Enrollment Request Database:
Subordinate CA certificate requests:
ReqID State Fingerprint SubjectName
--------------------------------------------------------------
RA certificate requests:
ReqID State Fingerprint SubjectName
--------------------------------------------------------------
Router certificates requests:
ReqID State Fingerprint SubjectName
--------------------------------------------------------------
1 pending 76E94F8D4F1387BFF5DAEA77832AA738 serialNumber=JAB0446C0L2+hostname=R1.cisco.com,cn=r1.cisco.com,ou=sales,l=beijing,c=cn
//可以看到1號申請，個人信息包括SN號、名字、部門等，MD5值“76E94F8D4F1387BFF5DAEA77832AA738 ”，與剛剛R1路由器提示的“76E94F8D 4F1387BF F5DAEA77 832AA738”一致，表示驗證成功，是R1發送過來的，且完整性校驗成功。
第七步：
證書服務器把個人證書進行頒發
R2#crypto pki server Root-CA grant 1 //頒發1號證書申請
在R1上看到日誌，已經收到了個人證書
Sep 11 03:29:59.066: %PKI-6-CERTRET: Certificate received from Certificate Authority
可以看到，已經有兩張證書了，一張是根證書，一張是個人證書。
R1#show crypto pki certificates
Certificate
Status: Available
Certificate Serial Number: 0x2
Certificate Usage: General Purpose
Issuer:
cn=root-ca.cisco.com
ou=department
l=location
cn=country
Subject:
Name: R1.cisco.com
Serial Number: JAB0446C0L2
serialNumber=JAB0446C0L2+hostname=R1.cisco.com
cn=r1.cisco.com
ou=sales
l=beijing
c=cn
Validity Date:
start date: 11:29:44 BJ Sep 11 2015
end date: 11:29:44 BJ Sep 10 2016
Associated Trustpoints: CA
CA Certificate
Status: Available
Certificate Serial Number: 0x1
Certificate Usage: Signature
Issuer:
cn=root-ca.cisco.com
ou=department
l=location
cn=country
Subject:
cn=root-ca.cisco.com
ou=department
l=location
cn=country
Validity Date:
start date: 11:00:28 BJ Sep 11 2015
end date: 11:00:28 BJ Sep 10 2018
Associated Trustpoints: CA
R3同理操作，再次在R2上查看申請，並進行頒發。
第八步：配置基於證書的L2L ***。
R1的***配置：
R1(config)#crypto isakmp policy 10
R1(config-isakmp)#exit
R1(config)#crypto ipsec transform-set trans esp-md5-hmac esp-des
R1(cfg-crypto-trans)#mode tunnel
R1(config)#access-list 100 permit ip 1.1.1.0 0.0.0.255 3.3.3.0 0.0.0.255
R1(config)#crypto map cisco 10 ipsec-isakmp
% NOTE: This new crypto map will remain disabled until a peer
and a valid access list have been configured.
R1(config-crypto-map)#set transform-set trans
R1(config-crypto-map)#set peer 23.1.1.3
R1(config-crypto-map)#match address 100
R1(config-crypto-map)#int f0/0
R1(config-if)#crypto map cisco
R3的***配置：
R3(config)#crypto isakmp policy 10
R3(config-isakmp)#exit
R3(config)#crypto ipsec transform-set trans esp-md5-hmac esp-des
R3(cfg-crypto-trans)#mode tunnel
R3(config)#access-list 100 permit ip 3.3.3.0 0.0.0.255 1.1.1.0 0.0.0.255
R3(config)#crypto map cisco 10 ipsec-isakmp
% NOTE: This new crypto map will remain disabled until a peer
and a valid access list have been configured.
R3(config-crypto-map)#set transform-set trans
R3(config-crypto-map)#set peer 12.1.1.1
R3(config-crypto-map)#match address 100
R3(config)#int f1/0
R3(config-if)#crypto map cisco
進行ping測試：
R1#ping 3.3.3.3 source 1.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds:
Packet sent with a source address of 1.1.1.1
...!!
Success rate is 40 percent (2/5), round-trip min/avg/max = 92/114/136 ms
證書的吊銷：
證書的吊銷有三種方法：
CRL（吊銷列表）：非實時性的證書吊銷
OCSP：在線證書狀態協議（思科的路由器不支持OCSP，微軟2008支持）
PKI集成AAA，對證書進行授權（思科私有技術）
在R1上查看關於CRL的配置，發現默認情況下是查詢CRL的。
R1#sh run | begin crypto pki trustpoint
crypto pki trustpoint CA
enrollment url http://2.2.2.2:80
subject-name cn=r1, ou=sales, c=cn
revocation-check crl //默認查詢CRL
rsakeypair r1.key
常用配置：
R3(config)#crypto pki trustpoint CA
R3(ca-trustpoint)#revocation-check none //不檢查CRL
R3(ca-trustpoint)#crl cache none //不緩存CRL列表，每次都去服務器查詢，比較浪費設備和網絡資源。
R1#show crypto pki crls
CRL Issuer Name:
cn=root.ca.cisco.com,ou=department,cn=country,l=location
LastUpdate: 15:42:24 BJ Sep 14 2015
NextUpdate: 21:42:24 BJ Sep 14 2015
Retrieved from CRL Distribution Point:
** CDP Not Published - Retrieved via SCEP
從返回的輸入可以看到CRL是定期從服務器查詢，並緩存在路由器上的。下一次更新的時間是21點。
實驗：
在R2上把R1和R3的證書進行吊銷：
R2#crypto pki server Root-CA revoke 0x3
% Certificate 0x3 succesfully revoked.
然後在R1和R3上進行CRL立即獲取的操作，不等待自動查詢
R1(config)#crypto pki crl request CA
再清掉兩臺路由器上的SA，再次ping測試，無法ping通了已經，***建立不成功。
R3#
Sep 14 07:54:51.789: %CRYPTO-5-IKMP_INVAL_CERT: Certificate received from 12.1.1.1 is bad: CA request failed!
Sep 14 07:54:53.405: %CRYPTO-3-IKMP_QUERY_KEY: Querying key pair failed。