OCSP-сервер или мучаться дальше?

у меня есть два сервера, в нидерландах и финляндии, но я нихрена не понял. интересно поймут ли люди у которых в жизни серверов не было

В яндекс вбей именно в яндекс "отключить опрос OCSP"

ИИ написал вот что. Ну а следовать или нет, этой инструкции, решай сам.
Ошибка OCSP на контроллере домена Windows Server 2025

**Краткий ответ:** отключить появление сообщений в журнале можно. Развёртывать OCSP-сервер только ради устранения этой ошибки не нужно.

## 1. Как отключить регистрацию ошибки

Если сообщение относится к источнику Schannel (например, событие 36928), можно изменить уровень журналирования.

В CMD от имени администратора:

`reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL" /v EventLogging /t REG_DWORD /d 0 /f`

После изменения перезагрузить сервер в согласованное окно обслуживания.

Значения параметра EventLogging:

- 0 — отключить регистрацию событий Schannel.
- 1 — регистрировать ошибки (значение по умолчанию).
- 3 — регистрировать ошибки и предупреждения.
- 7 — регистрировать все категории событий.

**Недостаток:** значение 0 отключает не конкретную ошибку OCSP, а все события Schannel, включая полезные диагностические сообщения TLS.

Вернуть настройки по умолчанию:

`reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL" /v EventLogging /t REG_DWORD /d 1 /f`

Потребуется перезагрузка.

## 2. Почему возникает ошибка

В сообщении присутствует:

- REASON_OCSP_RESPONSE_RETRIEVAL_ERROR
- Пустое поле URL-адреса OCSP.
- ThisUpdate: 1601-01-01
- NextUpdate: 1601-01-01
- Вложенный сертификат.

Дата 1601 года не означает нарушения синхронизации времени. Windows использует FILETIME, где отсчёт начинается с 1 января 1601 года. В данном контексте значение обычно свидетельствует об отсутствии действительного предыдущего ответа OCSP.

Отсутствие OCSP-сервера не является ошибкой само по себе. Проверка отзыва сертификатов может выполняться через CRL.

На контроллерах домена Windows Server встречались аналогичные сообщения Schannel 36928 даже при отсутствии настроенного OCSP и соответствующих адресов в сертификатах.

Однако одного текста сообщения недостаточно, чтобы окончательно установить причину.

## 3. Как найти сертификат, вызывающий ошибку

Сначала необходимо убедиться, что событие действительно создаёт Schannel и определить его Event ID.

Если это Schannel 36928, в PowerShell:

$event = Get-WinEvent -FilterHashtable @{
LogName = 'System'
ProviderName = 'Schannel'
Id = 36928
} -MaxEvents 1

$event.ToXml() | Set-Content "$env:TEMP\Schannel36928.xml" -Encoding UTF8

Открыть полученный XML и изучить вложенные данные сертификата.

Посмотреть сертификаты в хранилище компьютера:

Get-ChildItem Cert:\LocalMachine\My |
sеlесt-Object Subject, Issuer, Thumbprint, NotAfter |
Format-List

Если проблемный сертификат удалось определить, экспортировать его в файл и выполнить:

`certutil -verify -urlfetch C:\Temp\problem.cer`

Это позволит проверить цепочку сертификатов и доступность соответствующих ресурсов AIA/CDP.

## 4. Почему RequestOCSP=0 мог не помочь

Параметр RequestOCSP=0 не является документированным универсальным механизмом отключения OCSP-проверок Schannel в Windows Server 2025.

Поэтому его добавление в реестр не гарантирует прекращения сообщений.

Аналогично, параметр EnableOcspStaplingForSni относится к определённым сценариям OCSP stapling и не является универсальным исправлением события 36928.

Глобально отключать проверку отзыва сертификатов не рекомендуется: это затрагивает безопасность системы.

## 5. Нужно ли устанавливать OCSP-сервер?

Нет, пока не установлено, что какой-либо компонент инфраструктуры действительно требует OCSP.

Если сертификаты не содержат адресов OCSP, инфраструктура использует CRL, а проверка цепочек работает корректно, развёртывание нового Online Responder только ради устранения записи в журнале неоправданно.

Более того, установка OCSP-сервера сама по себе не гарантирует исчезновения ошибки с пустым URL.

## 6. Рекомендуемое решение

1. Установить источник и точный Event ID сообщения.
2. Определить сертификат из вложенных данных события.
3. Проверить цепочку сертификатов и доступность CRL.
4. Убедиться, что нет реальных проблем с LDAPS, TLS и другими службами, использующими сертификаты.
5. Если проблемы не обнаружены, можно исключить конкретное событие из системы мониторинга, не отключая журналирование Schannel целиком.
6. Если требуется полностью прекратить запись всех событий Schannel, использовать EventLogging=0, понимая последствия.

**Вывод:** поднимать OCSP-сервер не требуется. Отключить журналирование Schannel технически возможно, но предпочтительнее выявить сертификат и источник запроса, а затем устранить причину либо фильтровать конкретное событие. Проверенного универсального способа отключить исключительно эту ошибку на Windows Server 2025 без дополнительных данных о событии нет.

Цитата (YeTT @ 9 окт 2026 в 11:31)

ИИ написал вот что. Ну а следовать или нет, этой инструкции, решай сам. Ошибка OCSP на контроллере домена Windows Server 2025

ПОМОГЛО!!!
"Стакан красного" с меня с ближайшем кабаке.

Я ИИ по этому вопросу в google.com юзал - результат "отрицательный"
Чо за ИИ юзаешь?
Это сообщение отредактировал PriCOOLisT - 9 окт 2026 в 17:22

Цитата (PriCOOLisT @ 9 окт 2026 в 17:20)

Цитата (YeTT @ 9 окт 2026 в 11:31) ИИ написал вот что. Ну а следовать или нет, этой инструкции, решай сам. Ошибка OCSP на контроллере домена Windows Server 2025 ПОМОГЛО!!! "Стакан красного" с меня с ближайшем кабаке. Я ИИ по этому вопросу в google.com юзал - результат "отрицательный" Чо за ИИ юзаешь?

chatgpt платный.

ТС, AD и в частности DC - это удел психически не здоровых людей, как, собственно, и множество других поделий мелкософта. Не, винда, офисы и т.д. - вне конкуренции, но, блеать, что они намудили с "доменами" (в ИХ понимании "доменами") - это лютый пиздец. Мне 45 годиков, я хоть и линуксоид, но умею мало-мальски в AD. И при этом я никак не пойму - НАХУЙ эта поебень нужна??? Имеется в виду в том виде, в котором она существует. Был наизнанку изъебан LDAP, была изъебана общепринятая терминология и подходы, наглухо ебанутый опизденилиард политик "безопасности", которые от версии к версии во-первых меняются, во-вторых "из коробки" стоят в невнятных позах - какие-то разрешены, какие-то запрещены, и по этому, если серьезно, каждый раз все это говно надо с нуля настраивать и проверять. Я очень долго не знал линуксов, но когда узнал, логика ИХ работы и ИХ безопасности кажется мне гораздо более адекватной, вменяемой и системной. И вообще сами линуксы, с точки зрения именно СЕРВЕРНЫХ решений, кажутся мне наиболее приемлемым, простым и надежным, нежели мегаёбань от мелкомягких, которая сложна как пиздец и требует миллиарда настроек для простейших вещей.

Цитата (PriCOOLisT @ 9 окт 2026 в 17:20)

Цитата (YeTT @ 9 окт 2026 в 11:31) ИИ написал вот что. Ну а следовать или нет, этой инструкции, решай сам. Ошибка OCSP на контроллере домена Windows Server 2025 ПОМОГЛО!!! "Стакан красного" с меня с ближайшем кабаке. Я ИИ по этому вопросу в google.com юзал - результат "отрицательный" Чо за ИИ юзаешь?

а что имеено помогло? то что ты отключил регистрацию ошибки не значит что её не стало