IPSEC mit EAP ohne Domäne

[xtragood 10]

Hallo,

 

ist es möglich die Einwahl über VPN auf IPSEC mit EAP umzustellen, wenn der Server, auf dem man sich mit VPN einwählt, nicht in der Domäne hängt?

 

Grüße...

[xtragood 10]

Keiner ne Ahnung von Benutzerzertifikaten?

[raisu_de 10]

lies bitte folgenden link aufmerksam durch:

 

http://www.gruppenrichtlinien.de/index.html?/HowTo/VPN_Remote_Einwahl.htm

 

Insbesondere der Punkt 11 dürfte für Dich relevant sein.

 

schöne Grüße

[xtragood 10]

Hi raisu_de,

 

die Seite ist nicht schlecht, stellt mich aber trotzdem noch vor ein paar Probleme.

 

Punkt 11 ist für mich nicht relevant, da die User-Computer Domänenmitglieder sind. Nur der Server ist ein Nicht-Domänen-Mitglied, das würde mich zu Punkt 12 führen, bei dem ich mir gerne die 2. Möglichkeit (Die Verwendung einer Standalone CA) durcharbeiten möchte.

 

Ein lokaler Zertifizierungsdienst ist auf dem Server schon installiert, ein Zertifikat gibt es schon. Beim Aufruf von http://Rechnerame/certsrv/ im Browser bekomme ich aber "Die Seite kann nicht angezeigt werden". Sollte das nicht schon funktionieren? Oder was mach ich falsch?

 

Grüße

[raisu_de 10]

Beim Installieren der Zertifizierungsstelle wird der IIS angepasst. So wie Du das schreibst, könnte es auch ein Problem mit der Namensauflösung sein. Auch könnte es sein, dass der IIS Dienst nicht gestartet ist. Was sagt das IIS Snap-In ?

 

schöne Grüße

[xtragood 10]

Ok IIS war nicht installiert.

 

Also hab ich nun CA deinstalliert, IIS installiert und danach wieder CA installiert, Zertifikat erstellt. Leider funktioniert der Aufruf der Website immer noch nicht...

 

PS: IIS-Manager sagt: Default Website (Stopped)...bei start dieser bekomme ich ne Fehlermeldung: Address already in use.

[raisu_de 10]

Tja da hört wohl schon was auf Port 80.

 

Probiers mal hiermit:

 

http://support.microsoft.com/kb/261194/en-us

 

alternativ könntest Du auch den Port Deines IIS umsetzen.

[xtragood 10]

Ok...hatte ich eben auch noch schnell rausgefunden.

 

Funktioniert jetzt. Ich bin mal die Arbeitsschritte bei Punkt 12 Abschnitt 2 des Links von dir mal durchgearbeitet. Mir ist aber nicht ganz klar, was ich dort eigentlich gemacht hab.

 

Im MMC CA hab ich nun ein Issued Certificate, dass ich vorher über die Weboberfläche angefordert hab...laut Artikel soll jetzt nur noch bei den Clients auf IPSec umgestellt werde und das war's. Irgendwie kann ich das nicht so ganz glauben.

[raisu_de 10]

Wenn Du alle Schritte dieser Anleitung gewissenhaft abgearbeitet hast. Dann funktioniert das ganze auch. Ich hatte auch mal so meine Probleme mit L2TP Verbindungen. Damals habe ich mich dann an diese Anleitung gehalten.

[xtragood 10]

Also, ich muss noch dazu sagen, dass ich seit nem halben Jahr an dem Problem häng und nicht weiterkommen...auch jetzt nicht...

 

Über die Weboberfläche hab ich ein Zertifikat angefordert und an einem Client installiert.

Diese befindet sich auch in den Zertifikaten (nachgeschaut). Trotzdem bekomme ich beim Umstellen der VPN-Verbindung auf Zertifikate und IPSec die Meldung:

 

Cannot load dialog.

Error 798: A certificate could not be found that can be used with this Extensible Authentication Protocol.

 

Ich explodier hier gleich...

[raisu_de 10]

Ist die CA auch in der Liste Deiner vertrauenswürdigen CAs ?

[xtragood 10]

Das Zertifikat befindet sich unter:

 

Trusted Root Certification Authorities

-> Certificates

[raisu_de 10]

Und Du hast bei Deiner VPN- Verbindung auf dem client das Zertifikat auch angegeben ? Und der RRAS Server verwendet auch das Zertifikat ?

[xtragood 10]

Bei RRAS gibt es die selbe Fehlermeldung, sobald ich das Zertifikat hinzufügen möchte...

[raisu_de 10]

Ich denke nun ist mir klar wo Dein Problem liegt.

Das IPSec Zertifikat ist für den Tunnel gedacht. Wenn Du nun EAP als Authentifizierung verwenden willst brauchst Du von einer Unternehmenszertifizierungsstelle noch ein Benutzerzertifikat. Wie es in der Anleitung zu PPTP VPN beschrieben ist.

 

Also brauchst Du noch eine 2. Zertifizierungsstelle. Wenn Du das nicht haben möchtest, mußt Du die Benutzerauthentication auf MS-CHAP oder MS-CHAP V2 lassen.