Estou tendo problemas ao usar o openssl para criar um certificado x509 contendo um ponto de distribuição crl para teste.

Eu verifiquei a documentação e encontrei a definição de configuração crlDistributionPoints para essa finalidade. Infelizmente o openssl sempre gera certificados x509 versão 1 sem em vez de certificados da versão 3 com o ponto de distribuição crl. Tenho certeza de que algo está errado com o meu comando ou a configuração, mas ler a documentação com cuidado e brincar com a configuração não ajudou. Outras configurações do arquivo de configuração são consideradas, portanto, tenho certeza de que o arquivo em si é usado pelo openssl.

Estou usando o comando

openssl x509 -req -in $NAME.csr -out certs/$NAME.pem -days 3650 -CAcreateserial -CA cacert.pem -CAkey private/cakey.pem -CAserial serial

Eu estou usando o seguinte arquivo de configuração:

[ ca ]
default_ca              = CA_default

[ CA_default ]

dir                     = /home/ca
database                = $dir/index.txt
new_certs_dir           = $dir/newcerts

certificate             = $dir/cacert.pem
serial                  = $dir/serial
private_key             = $dir/private/cakey.pem
RANDFILE                = $dir/private/.rand

default_days            = 3650
default_crl_days        = 30
default_md              = md5

policy                  = policy_any
email_in_dn             = no

name_opt                = ca_default
cert_opt                = ca_default
copy_extensions         = none

x509_extensions         = extensions_section

[ extensions_section ]

crlDistributionPoints=URI:http://example.com/crl.pem

[ policy_any ]
countryName             = supplied
stateOrProvinceName     = optional
organizationName        = optional
organizationalUnitName  = optional
commonName              = supplied
emailAddress            = optional

Alguma ideia?