Solução de problemas do LAPP
Uma falha do LAPP nunca interrompe uma validação por si só: quando o LAPP não ajuda, o PKI SDK segue como se ele estivesse desabilitado,
e a validação termina como terminaria sem o LAPP, em geral com o status de revogação desconhecido (no PKI Express, o código
CertificateRevocationStatusUnknown).
Faça as verificações abaixo na ordem. Quando uma verificação cita o log do PKI SDK, é o log do PKI SDK dentro do seu produto, com o log
ligado.
1. A configuração está ligada
Verifique se a configuração de LAPP do produto está como true e se o serviço foi reiniciado depois. Veja
Habilitando o LAPP. No PKI SDK, PkiConfig.LappEnabled precisa ser definido no mesmo processo que valida os
certificados.
2. O servidor acessa o LAPP
No servidor, execute:
curl http://lapp-fx-brs.lacunasoftware.com/api/system/info
Uma resposta JSON com "name":"Lacuna.Lapp.Function" indica que a rede está certa. Se a chamada falhar ou exceder o timeout, libere no
firewall o acesso de saída HTTP (porta TCP 80) a lapp-fx-brs.lacunasoftware.com. Se o servidor sai por um proxy, execute o curl com
--proxy e verifique se a configuração de proxy do produto usa o mesmo.
3. A sua licença está autorizada
O LAPP responde às requisições de uma licença que ele não autorizou com 422 Unprocessable Entity e a mensagem
Not authorized request (<ID da licença>): <licenciado>. O log do PKI SDK registra a resposta como erro:
HTTP error (Unprocessable Entity): Not authorized request (<ID da licença>): <licenciado>
Se você acabou de habilitar o LAPP, entre em contato com o suporte e confirme que autorizaram o LAPP para a sua licença. Informe o nome do licenciado da licença do PKI SDK que o servidor usa. Se você renovou ou trocou a licença, o ID da nova licença pode precisar de autorização também, a menos que o nome do licenciado seja o mesmo.
4. Os timeouts são longos o bastante
O PKI SDK só recorre ao LAPP depois que o download da URL da AC falha. Se o firewall descarta os pacotes enviados à URL da AC em vez de rejeitá-los, o SDK primeiro espera o timeout inteiro do download e depois envia a requisição ao LAPP com o mesmo timeout. Quando a operação inteira tem um tempo limite próprio (uma requisição HTTP à sua aplicação, por exemplo), ele pode se esgotar antes que o LAPP responda.
- Configure o firewall para rejeitar as conexões que ele bloqueia, para que o download direto falhe na hora.
- No PKI SDK, revise
PkiConfig.CrlDownloadTimeoutePkiConfig.CAIssuersDownloadTimeout.
5. O LAPP consegue baixar o arquivo
O LAPP baixa LCRs e certificados de AC das mesmas URLs que o seu servidor usaria. Se o servidor da AC está fora do ar para todos, ou se a
URL no certificado está errada, o LAPP também não consegue o arquivo, a menos que já guarde uma cópia daquela LCR ainda válida. Nesse
caso o LAPP também responde 422, e o log do PKI SDK mostra HTTP error (Unprocessable Entity): seguido de uma mensagem como
Could not find CRL (...) for issuer ... ou Crl entity not found for uri: ....
Para distinguir este caso dos outros, tente baixar a LCR de um computador fora da sua rede, usando a URL da extensão CRL Distribution Points do certificado. Se também falhar, o problema está na AC: aguarde a correção ou entre em contato com a AC. Se funcionar lá, envie ao suporte o certificado e o horário da validação que falhou.