VPN über IPSec - zusätzliche Software nötig?

[Kurpi]

Hallo!

Ich will einen VPN Tunnel zwischen einem MS Server 2003 und WinXP über einen normalen Router aufbauen.

Über den Windows VPN "Client" alles kein Problem nachdem der Router konfiguriert war.

Nun möchte ich aber das ganze über IPSec machen. Hab aber nicht wirklich die Ahnung davon. Und was ich bereits im Internet fand hat mich noch mehr verwirrt.

Daher meine Frage:

Ist es möglich einen VPN Tunnel über IPSec mit Windows zu realisieren oder benötigt man zusätzliche Software?

Wie gesagt, einen VPN tunnel ohne zusätzliche Software hab ich ohne Problem aufgebaut. Verstehe aber nicht ganz wie das gehen soll wenn ich das über IPSec haben will.

Würd mich über jede Hilfe und Link freuen. Ist leider auch etwas dringend da dies zu meinem Abschlußprojekt gehört.

[cane]

Hier eine nette Einstiegsseite:

http://www.microsoft.com/windowsserver2003/technologies/networking/vpn/default.mspx

Deine Frage kann ich leider nicht beantworten da ich für VPN-Gateways ausschließlich Linux verwende.

mfg

cane

[janlutmeh]

Funktioniert genau so wie Du es eingerichtet hast. Auswahl als Tunnelprotokoll muss dann L2TP sein. In der Microsoft Welt ist L2TP standardmässig fest mit IPSec verdrahtet.

Solltest Du eine reine IPSec Lösung implementieren wollen, ist das ganze allerdings etwas schwieriger.

Serverseitig sollte dieser Artikel helfen http://support.microsoft.com/kb/816514/en-us

Für den Client bin ich auf die schnelle nicht fündig geworden, es gibt aber auch einen KB Artikel für die Entkoppelung LtP und IPSec auf den Clients, steht aber vielleicht nur im Technet-Abo zur Verfügung.

[cane]

Bei L2TP immer bedenken das es zwar sicherer als PPTP ist aber trotzdem einige (theoretische?) Schwachstellen hat.

mfg

cane

[janlutmeh]

Bei L2TP immer bedenken das es zwar sicherer als PPTP ist aber trotzdem einige (theoretische?) Schwachstellen hat.

mfg

cane

Das dürfte wohl der Grund sein warum man bei MS out of the box nur L2TP/IPSec bekommt, sprich L2TP für den Tunnel und IPSec für die Verschlüsselung.

Problematik ist aber das man Probleme mit der Anbindung an nicht MS Welten bekommt, da dort in der Regel nur reine IPSec Iplementationen verfügbar sind, die mit dem Kombipack von MS nicht viel anfangen können.

[cane]

Das dürfte wohl der Grund sein warum man bei MS out of the box nur L2TP/IPSec bekommt, sprich L2TP für den Tunnel und IPSec für die Verschlüsselung.

Also werden die Protokolle einfach ineinander geschachtelt?

Problematik ist aber das man Probleme mit der Anbindung an nicht MS Welten bekommt, da dort in der Regel nur reine IPSec Iplementationen verfügbar sind, die mit dem Kombipack von MS nicht viel anfangen können.

Deswegen empfehle ich den Einsatz eines älteren Rechners mit Linux als VPN-Gateway.

mfg

cane

[Kurpi]

Hat alles geklappt, also dafür mal danke

Aber das nächste Problem:

Folgendermaßen:

Ich habe einen Server der als Domain Controller sowie DNS Server läuft.

IIS ist installiert, Zertifizierungsdienste ebenfalls.

VPN ist bereits auch über RAS & Routing eingerichtet.

Nun versuch ich mit dem Client über VPN auf dem Server einzuloggen. Fehlermeldung: Er verlangt ein Zertifikat. Soweit so gut aber wie erstelle ich für IPSec denn ein Zertifikat?

Hab schon graue Haare deswegen und leider ist es wie so oft recht dringend

[janlutmeh]

Du musst im Zertifikatsmanager ein Zertifikatstemplate für IPsec erstellen, das ganze dann veröffentlichen und das Zertifikat dann an die Nutzer und die Server ausrollen (manuell oder via GPO). Dann die Zertifikate installieren und es sollte klappen.

[Kurpi]

Was ist denn ein Zertifikatsmanager? Oder meinst du eine Zertifizierungsstelle?

Wie erstellt man denn dort Zertifikate? Oder sind das die unter Vorlagen?

Leider bringt mich dein Post nicht viel weiter.

Könntest du das etwas genauer erklären?

[janlutmeh]

Ja ich meine das SnapIn Zertifizierungsstelle.

In den Vorlagen findet man dann die Zertifikatsvorlagen (Templates), diese können nicht direkt bearbeitet werden, also z. B. ein L2TP/IPSec Zertifikat kopieren und diese Kopie dann den Wünschen (z. B. nur IPSec) entsprechend bearbeiten. Diese Vorlage muss dann veröffentlicht werden damit Sie als Zertifikat verteilt werden kann.

Ich versuch das Heute Abend nochmal ein wenig ausführlicher zu erklären, im Moment fehlt mir dazu leider die Zeit. Ist halt ein etwas komplexeres Thema.