[W2K3] IP sec werkt niet met certificaat

[Thunde®]

Hallo,

ik ben nu al een tijdje bezig met het toepassen van IPsec (testomgeving), maar ik loop tegen het volgende probleem aan.

Als ik twee w2k3 servers secure laat communiceren via IPsec en een preshared key, dan werkt dit prima. Ik krijg dan bij een ping eerst : Negotiating IP adress, en daarna een succesvolle ping.

Maar als ik in plaats van een preshared key een certificaat gebruik, werkt het niet meer. Ik krijg dan alleen maar continue "negotiating IP adress".

Ik heb zelf certificaten aangemaakt (via IIS 6.0 rootkit) en gewoon de standaard aanwezige gebruikt, maar het werkt allemaal niet, terwijl hij toch met een standaard certificaat zou moeten werken. Het zijn twee identieke w2k3 servers, met dezelfde certificaten geïnstalleerd.

Volgens mij zie ik iets kleins over het hoofd, ik krijg de volgende melding bij de event viewer:

IKE failed to find valid machine certificate

Op internet is hier nauwelijks iets bruikbaars over te vinden, ik hoop dat jullie ook eens tegen dit probleem zijn aangelopen.

[MissingDog]

IIS certificate? je moet wel enrollen via de web-interface als je een stand-alone CA gebruikt, maar bij een enterprise CA kun je dat ook via MMC doen....computercertifcaatje (X.509) enrollen en gaan met de banaan...zie de 70-291 documentatie, module 9

[Thunde®]

MissingDog schreef op maandag 26 mei 2008 @ 18:18:
IIS certificate? je moet wel enrollen via de web-interface als je een stand-alone CA gebruikt, maar bij een enterprise CA kun je dat ook via MMC doen....computercertifcaatje (X.509) enrollen en gaan met de banaan...zie de 70-291 documentatie, module 9

Nou, het punt is dat ipsec eigenlijk met meerdere certificaten moet werken. Hij kijkt namelijk of er een gelijkwaardige common root CA bij beide servers aanwezig is, deze is er bijvoorbeeld als MS certificaat maar toch krijg ik dit niet werkend, daarom vermoed ik dat ik iets vergeet maar ik zou even niet meer weten wat?

[MissingDog]

Ik heb er even geen direct antwoord op, zal eens kijken of ik 't voor elkaar krijg met 2 virtual machines

[Verwijderd]

Thunde® schreef op maandag 26 mei 2008 @ 18:22:
[...]

Nou, het punt is dat ipsec eigenlijk met meerdere certificaten moet werken. Hij kijkt namelijk of er een gelijkwaardige common root CA bij beide servers aanwezig is, deze is er bijvoorbeeld als MS certificaat maar toch krijg ik dit niet werkend, daarom vermoed ik dat ik iets vergeet maar ik zou even niet meer weten wat?

ca opzetten en enrollen zoals hierboven al staat. die makecert dingen werken niet voor identity.