VPN-PSK-Schlüssel via GPO verteilen

[dslthomas 10]

Moin, Moin,

 

ich habe folgendes Problem: Serverfarm auf Basis w2k12 (nicht R2!!) mit Win 8.1 Clients (ADMX-Files für Win 8.1 habe ich importiert). Nun soll eine VPN-Verbindung den Clients per GPO übergeben werden. Das funktioniert auch alles soweit,- allerdings scheitere ich an der Übergabe des PSK-Schlüssels.

 

Die angehängten Bilder vpn1.png und vpn2.png sind die Einstellungen die es sein sollen. Vpn3.png und vpn4.png ist die entsprechende GPO wo ich aber keine Möglichkeit habe, den PSK-Schlüssel zu hinterlegen. Im Internet bin ich darüber gestolpert das man dies unter "IP-Sicherheitsrichtlinien auf Active Directory" konfigurieren kann (vpn5.png) aber hier weis ich noch nicht mal ansatzweise was und wie ich das ganze einstellen muss.

 

Kann mir jemand nen Tipp geben wie ich das ganze hin bekomme?

 

Danke und Gruß aus Hamburg

[daabm 1.366]

PSK per GPO - tut mir leid für Dich, aber das geht schlicht nicht. Weder bei VPN noch bei WLAN.

[NorbertFe 2.099]

Auch besser so. ;)

[daabm 1.366]

...deshalb heißt es ja auch "pre shared", weil man den "vorher verteilen" muß :)

[dslthomas 10]

Moooooment mal,- sprach ich davon, dass ihr ehrlich sein sollt? :-)

 

Nein,- Scherz beiseite. Danke für Eure Antworten auch wenn es genau die Antworten sind, die ich nicht hören wollte :-) Wenn das per GPO nicht geht, kann ich VPN-Verbindung ja gleich mit ins Image für die Notebooks packen. Ich hatte nur gehofft, dass das alles auch per GPO zu verteilen geht damit man bei Änderungen nicht alle Notebooks wieder anfassen muss.

 

Danke und Gruß aus Hamburg

[NorbertFe 2.099]

Und du hast getestet, ob die Einstellung dann das sysprep überlebt?

 

Bye

Norbert

[daabm 1.366]

VPN macht man idealerweise per Computerzertifikat mit Auto-Enrollment. Dann hast Du das Problem nicht - aber wenn das bei Dir nicht geht, ist es halt schwieriger :)

[Daniel -MSFT- 129]

Du willst ernsthaft einen PSK nie ändern? Was machst Du denn, wenn der mal kompromittiert wird?

 

Ein Weg wäre eine silent EXE mit dem CMAK (Connection Manager Administration Kit) zu erzeugen. Damit kannst Du imho einen PSK verteilen.

 

Du solltest zusätzlich zum PSK noch eine weitere Authentifizierungsmethode nutzen. Schau mal hier rein: http://blog.cjwdev.co.uk/2011/05/19/automate-creation-of-an-l2tp-vpn-with-pre-shared-key-and-automatically-use-windows-credentials/

 

Wir nutzen selbst zum Beispiel Userzertifikate mit PIN per virtueller (TPM) oder physikalischer Smartcard für VPN und Computerzertifikate via virtueller Martcard und Bitlocker-Zwang mit PIN für Direct Access.

bearbeitet 11. Mai 2015 von Daniel -MSFT-