Zertifikatsdienste

[holgi_man 10]

Hallo alexstarke

 

DNS überprüft man mal einfach mit nslookup in der CMD.

 

Zertifizierungsstellen gibt es 4, 1. Stammm Organisations CA, untergeordnete Organisations CA, 3. Eigenständige CA und zum schluß 4. untergeordnete Eigenständige CA.

 

Ich möcht bestimmt auch nicht Unken, aber mir scheint so das dein DC neu aufgesetzt werden müßte (nur ein verdacht) ;)

 

mit den freundlichsten

 

holgi :)

[alexstarke 10]

C:\Dokumente und Einstellungen\starke_a>nslookup http://www.google.de

*** Der Servername für die Adresse 10.1.0.3 konnte nicht gefunden werden:

Non-existent domain

*** Die Standardserver sind nicht verfügbar.

Server: UnKnown

Address: 10.1.0.3

 

Nicht autorisierte Antwort:

Name: http://www.google.akadns.net

Addresses: 66.102.11.104, 66.102.11.99

Aliases: http://www.google.de, http://www.google.com

 

 

Als Zertifikatsservice hab ich Stammm Organisations CA aufgesetzt. ist doch richtig, als alleinstehender Server ohne kontakt zu anderen...?

[holgi_man 10]

Hallo alexstarke

 

Also zu Zertifikatsdiensten: Nein eigentlich nicht, im allgemeinen setzt man zwar eine stamm ... wie auch immer ... auf und fügt dann eine untergeordnete CA hinzu die von der Stamm CA "zertifiziert wird" (von wegen Sicherheit und so).

Die Stamm CA kann man dann in die Ecke stellen (offline).

 

zu DNS: wenn du nslookup eingibst und du erhältst Server: UnKnown als Antwort zurück läuft dein DNS nicht sauber (Reverse Lookup Zone) könnte zum Beispiel fehlen.

 

Mit den freundlichsten

 

holgi :)

[alexstarke 10]

soo. hab eine lookupzone eingerichtet.

 

C:\Dokumente und Einstellungen\starke_a>nslookup http://www.mcseboard.de'>http://www.mcseboard.de

Server: win2k3srv.starke.home

Address: 10.1.0.3

 

Nicht-autorisierende Antwort:

Name: http://www.mcseboard.de

Address: 80.67.17.41

[/Quote]

 

gibt auch nurnoch eine hand voll fehler ;-)

 

Ereignistyp: Warnung

Ereignisquelle: EvntAgnt

Ereigniskategorie: Keine

Ereigniskennung: 1015

Datum: 15.11.2004

Zeit: 20:14:42

Benutzer: Nicht zutreffend

Computer: WIN2K3SRV

Beschreibung:

TraceLevel-Parameter ist nicht in der Registrierung enthalten. Die verwendete Standardablaufverfolgungsstufe ist 32.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.'>http://go.microsoft.com/fwlink/events.asp.'>http://go.microsoft.com/fwlink/events.asp.

 

[/Quote]

 

Ereignistyp: Warnung

Ereignisquelle: KDC

Ereigniskategorie: Keine

Ereigniskennung: 20

Datum: 15.11.2004

Zeit: 20:14:15

Benutzer: Nicht zutreffend

Computer: WIN2K3SRV

Beschreibung:

Das zurzeit ausgewählte KDC-Zertifikat war vorher gültig, aber ist jetzt ungültig und es konnte kein geeigneter Ersatz gefunden werden. Die Smartcard-Anmeldung funktioniert vielleicht nicht richtig, wenn dieses Problem nicht behoben wird. Lassen Sie den Systemadministrator den Status der öffentlichen Schlüsselinfrastruktur der Domäne überprüfen. Der Kettenstatus ist in den Fehlerdaten.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

Daten:

0000: 00 00 00 00 00 00 00 00 ........

0008: 00 00 00 00 00 00 00 00 ........

 

[/Quote]

 

Ereignistyp: Fehler

Ereignisquelle: DNS

Ereigniskategorie: Keine

Ereigniskennung: 4004

Datum: 15.11.2004

Zeit: 20:11:14

Benutzer: Nicht zutreffend

Computer: WIN2K3SRV

Beschreibung:

Der DNS-Server konnte die Aufzählung der Verzeichnisdienste der Zone "starke.home" nicht vollständig durchführen. Dieser DNS-Server ist so konfiguriert, dass er Verzeichnisdienstinformationen für diese Zone benötigt, und kann diese ohne diese Informationen nicht laden. Überprüfen Sie, dass das Active Directory richtig funktioniert und wiederholen Sie die Aufzählung der Zone. Die erweiterte Fehlerdebuginformation (die eventuell leer ist) ist "". Die Ereignisdaten enthalten den Fehlercode.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

Daten:

0000: 2a 23 00 00 *#..

 

[/Quote]

 

klingt irgendwie ganz übel wenn ihr mich fragt...

 

aber ich hab auch eigentlich keine lust den ad neuzuinstallieren und die ganzen user wieder neu anzulegen,...

 

sieht jemand ne chance?

 

gruß,

 

alex

[alexstarke 10]

soo. ich habe nun den dns neu aufgesetzt. und noch einige andere fehler behoben im AD.

 

der server läuft jetzt ohne fehler in der ereignisanzeige.

 

Die Zertifikatsdienste laufen auch Fehlerfrei.

 

Also nun zurück zum ursprünglichen Problem:

was brauche ich jetzt in richtung Zertifikate, wenn ich eine VPN-Verbindung L2TP auf Zertifikatsbasis aufbauen möchte und wie stelle ich das an? Was brauche ich für eine CA?

[holgi_man 10]

Hallo alexstarke

 

sorry hab`s vergessen, ist das Real Live oder zum Testen?

 

Bei Real ... hab ich dir schon gepostet.

 

Zum test ... reicht eine Stamm Organisations CA.

 

in der konsole CA mußt du dann die CA anforderungen für IPSec stellen.

 

Danach kannst du diese dann auf den PC`s installieren.

 

mit den freundlichsten

 

holgi :)

 

PS: Die beteidigten PC`s brauchen ein Zertifikat von der gleichen Zertifizierungsstelle!

[alexstarke 10]

hallo holgi,

 

ist im Prinzip zum Testen und RealLive ;-)

 

Also im Prinzip hab ich nur einen server, zu hause und es arbeiten auch nur nen paar leute dran. aber da ich meistens 100km entfernt von mienem server verweile hätte ich gerne ein VPN, damit ich die ports nicht alle öffnen muss, aus sicherheitsgründen.

Im moment läuft das auf PPTP, aber das gefällt mir nicht. zwecks sicherheit.

IPsec auf preshared key läuft.

 

wie/wo erstelle ich jetzt die richtlinien für die zertifikate, die verwendet werden sollen.

 

und was benötige ich für eine CA?

 

links zu dem thema wären auch hilfreich, da ich da wie man sieht nicht so die ahnung habe... ;-)

 

danke,

 

alex