Dieser Beitrag ist schon älter. Bitte vergewissern Sie sich, dass die Rahmenbedingungen oder der enthaltene Lösungsvorschlag noch dem aktuellen Stand der Technik entspricht.

Frage zu Zertifikaten unter w2k3

Mitglied: RedFaction
Hallo Leute,

hab da mal ne Frage zu Zertifikaten unter Windows 2003 Server.
Ich experimentiere derzeit mit VPN, und habe auf den Server eine Zertifizierungsstelle konfiguriert. Nun zwei Fragen, zum Einen kann ich irgendwie die Zertifikate die ich zum Testen erstellt habe wieder löschen, da sammeln sich einige an.

Und zweitens, wieso kann ich mich bei einer zertifikatsgestützten VPN Verbindung, nachdem ich das Zertifikat auf dem Server geblockt habe, trotzdem wieder einwählen. Dies ist erst dann nicht möglich wenn ich das Zertifikat am Client lösche.

Ich denke, das dies nicht der Richtige weg ist, die VPN Verbindung zu verbieten.

Danke schon mal für Eure Antworten

CU

Content-Key: 6948

Url: https://administrator.de/contentid/6948

Ausgedruckt am: 24.07.2021 um 23:07 Uhr

Mitglied: fritzo
fritzo 16.02.2005 um 00:27:46 Uhr
Goto Top
Hi,

ich habe leider momentan keine CA zur Hand, aber schau mal in der MMC unter "Ausgestellte Zertifikate". Ich bin mir zwar nicht sicher, ob man Certs auf einer CA überhaupt löschen kann (wenn, dann widerruft man sie normalerweise) - aber wenn, dann hier.

Grüße,
fritzo
Mitglied: RedFaction
RedFaction 16.02.2005 um 11:32:37 Uhr
Goto Top
Hi,

danke für die Antwort, aber leider kann ich in der mmc der Zertifikate auf dem Server wie Du schon gesagt hast diese nur blocken, bzw ablösen. Das ist zwar soweit schon OK, aber gerade durch meine Test, sammeln sich einige nicht benötigte Zertifikate an.
Ich würde halt gerne mal ein bisschen Ordnung reinbringen.

Nun gut, das soll aber nicht das Problem sein. Wichtiger ist mir da der zweite Teil meiner Frage. Wenn da einer eine Antwort wüste, währe ich im sehr dankbar.

CU
Mitglied: fritzo
fritzo 16.02.2005 um 20:29:03 Uhr
Goto Top
Hi,

normalerweise kann sich ein Client mit einem Client-Cert, das auf dem Server "revoked" wurde, nicht mehr anmelden. Voraussetzung dafür ist, daß der Server so eingestellt ist, daß er Clients mit revoked certs explizit nicht mehr reinlässt.

Hast Du den Server evtl. so konfiguriert, daß er Clients trotz abgelaufenem Cert zulässt? Was verwendest Du denn, L2TP/IPSec? Evtl. wird die Verbindung bei einem ungültigen Cert nicht abgebrochen, sondern fällt zurück in den PPTP-Modus?

Grüße,
fritzo
Mitglied: RedFaction
RedFaction 17.02.2005 um 21:00:24 Uhr
Goto Top
Hi fritzo,

nochmal danke für Deine Hilfe, ich denke ich weiss woran es lag. Und zwar gibt der Server ja die Liste mit den geblockten und oder gesperten Zertifikaten in einen einstellbaren Zeitraum den Clients bekannt. Dieser stand bei mir auf eine Woche, daher hat die Sperrung nicht gegriffen, da ich es ja gleich im Anschluss probiert habe.
Nun kann das sein, sehe ich das richtig oder bringe ich da etwas durcheinander?
Wenn das Richtig ist, sollte es nicht möglich sein die Anmeldung eines Clients mit hilfe eines Zertifikates, sofort und auf der Stelle zu verweigern.

thx
Mitglied: fritzo
fritzo 17.02.2005 um 22:18:33 Uhr
Goto Top
Hi,

kann sein- wenn ja, ist das wahrscheinlich so, damit User noch eine Chance haben, ihre Certs zu erneuern. Was passiert, wenn Du den Wert verringerst?

Grüße,
fritzo
Mitglied: meinereiner
meinereiner 17.02.2005 um 22:31:57 Uhr
Goto Top
Ja, das sollte stimmen.
Ich entsinne mich gelesen zu haben, dass man eben diese Zeit bedenken muss, wenn man jemanden das zertifikat entziehen will.

Bei MS gibts da einen netten Artikel zum entwerfen einer PKI. Zwar in Verbinung mit Wireless, aber vielleicht auch so ganz interessant. Vielleicht interessiert es ja.. :-) face-smile


http://www.microsoft.com/germany/ms/security/guidance/modules/secmod170 ...
Mitglied: RedFaction
RedFaction 18.02.2005 um 21:58:14 Uhr
Goto Top
Hi,

thx

ich werde morgen ein paar Tests durchführen, und euch mal auf den laufenden halten,
was nun stand der Dinge ist.

cu
Mitglied: RedFaction
RedFaction 21.02.2005 um 09:41:53 Uhr
Goto Top
Hi,

also ich hab keine Ahnung wie es weiter gehen soll.
Ich kann die Zertifikate sperren so oft ich will, ich kann mich trotzdem mit dem gesperten Zertifikat anmelden. Weiter oben hies es das man die Anmeldung mit gesperten Zertifikaten
expliziet verweigern muss. Wo kann ich diese Einstellung den Vornehmen. In den Richtlinien für Routing und RAS habe ich nichts gefunden.

CU
Heiß diskutierte Beiträge
general
Kosten nicht gerechtfertigt? Dienstleister stellt Kosten für "Troubleshooting" bei Neuanschaffung von HCI + CoreSwitchDirty2186Vor 1 TagAllgemeinZusammenarbeit17 Kommentare

Hallo Zusammen, ich interessiere mich für Eure Meinung zu dem Thema Leistungsnachweise von Systemhäusern und Dienstleistern und deren Berechnung von Leistungen. Da sich hier ja ...

question
RAM-Zugriff auf einem neuen High-Performance Server, teilweise um Welten langsamer als auf einer WorkstationMysticFoxDEVor 13 StundenFrageBenchmarks32 Kommentare

Moin Zusammen, mir ist gestern beim Optimieren eines neuen Servers eine Sonderheit aufgefallen, die ich mir so beim besten Willen, momentan absolut nicht erklären kann. ...

info
Phishing Mail mit schädlichen Images in freier Wildbahn (.IMG Datei)wolfbleVor 1 TagInformationViren und Trojaner12 Kommentare

Moin Moin an alle Gestern bekam ich eine EMail mit irgendwelchen komischen Sepa Einzugsankündigungen die man angeblich der angehängten Datei entnehmen kann. Ging so um ...

question
Listet Microsoft Default ACLs von Windows?DerWoWussteVor 1 TagFrageSicherheit18 Kommentare

Moin Kollegen. Nach dem Sicherheits-GAU "Hivenightmare" stellt sich mir die Frage, wie ich in Zukunft sicherstellen kann, dass die ACLs der Systemdateien in Windows korrekt ...

question
Erfahrungen mit CodeTwo Exchange Migration von 2016-2019dlohnierVor 1 TagFrageExchange Server18 Kommentare

Hallo, ich möchte unseren Exchange Server 2016 der noch auf WIndows 2016 läuft auf einen Server 2019 mit Exchange 2019 migrieren. Habe das Tool "CodeTwo ...

question
Doppelte A-Records in DNSBPeterVor 1 TagFrageWindows Server10 Kommentare

Hallo, unsere Windows Notebooks registrieren sich im DNS mit ihrer Lan- und Wlan Adresse. D.h. es gibt 2 gleiche Namen mit 2 unterschiedlichen IP-Adressen. Wie ...

question
AD-Domäne über VPN beitreten -Ist das möglich?EnrixkVor 1 TagFrageWindows Netzwerk9 Kommentare

Hallo, ich bräuchte mal einen Rat von einem Netzwerkprofi. Ich habe bei mir zuhause ein Heimnetzwerk mit AD-Domäne, entsprechenden Ordnerfreigaben, NAS und servergespeicherten Windows-Profilen. Wenn ...

question
Abschlussprojekt - FiSi gelöst VerbranntesHuhnVor 1 TagFrageWeiterbildung6 Kommentare

Hallo zusammen, ich bin derzeit auf der Suche nach einem Abschlussprojekt (max. 35 Stunden) - Abgabe des Antrags - Stichtag 02.08.2021. Ich weiß jedoch nicht ...