Citrix ADCアプライアンスでのOCSP検証は、SSLハンドシェイク中にアプライアンスがクライアント証明書を受信したときに開始されます。証明書を検証するために、アプライアンスは OCSP 要求を作成し、それを OCSP 応答側に転送します。そのために、アプライアンスはローカルに設定された URL を使用します。アプライアンスがサーバからの応答を評価し、トランザクションを許可するか拒否するかを決定するまで、トランザクションは中断状態になります。サーバーからの応答が構成された時間を超えて遅延し、他のレスポンダーが構成されていない場合、アプライアンスは、OCSPチェックがオプションに設定されているか必須に設定されているかに応じて、トランザクションを許可するか、エラーを表示します。

アプライアンスは、OCSP 要求のバッチ処理と OCSP 応答のキャッシュをサポートし、OCSP 応答側の負荷を軽減し、応答を高速化します。

アプライアンスは、クライアント証明書を受信するたびに、OCSP レスポンダに要求を送信します。OCSP レスポンダが過負荷にならないように、アプライアンスは同じ要求内の複数のクライアント証明書のステータスを照会できます。この機能を効率的に機能させるには、バッチの形成を待機している間に単一の証明書の処理が過度に遅延しないように、タイムアウトを定義する必要があります。

OCSP レスポンダから受信した応答をキャッシュすると、クライアントへの応答が高速になり、OCSP レスポンダの負荷が軽減されます。OCSP レスポンダからクライアント証明書の失効ステータスを受け取ると、アプライアンスは応答をローカルにキャッシュします。SSL ハンドシェイク中にクライアント証明書を受信すると、アプライアンスはまずローカルキャッシュにこの証明書のエントリをチェックします。（キャッシュのタイムアウト制限内で）有効なエントリが見つかった場合、そのエントリが評価され、クライアント証明書が受け入れられるか拒否されます。証明書が見つからない場合、アプライアンスは OCSP レスポンダに要求を送信し、設定された時間だけ応答をローカルキャッシュに保存します。

OCSP の構成には、OCSP レスポンダーの追加、OCSP レスポンダーの証明機関 (CA) 証明書へのバインド、証明書の SSL 仮想サーバーへのバインドが含まれます。すでに設定されている OCSP 応答側に別の証明書をバインドする必要がある場合は、まず応答側のバインドを解除してから、応答側を別の証明書にバインドする必要があります。