Cisco PIX und digitale Zertifikate | L2TP/IPSec

[forsti82]

nach längerer zeit muss ich mich einfach mal wieder an die community wenden und hoffe irgendwer hier kann mir helfen

und zwar folgendes: hat irgendwer von euch erfahrung im einsatz von digitalen zertifikaten mit einer cisco pix firewall (oder anderem cisco produkt)?
ich habe zwar dutzende whitepapers und how-tos gefunden und auch in der pix-bibel von syngress nachgelesen aber ich kriegs einfach nicht auf die reihe...

glaubt irgendwer hier er kann mir evtl weiterhelfen? wenn nicht spar ich mir nämlich hier mein szenario näher zu erläutern


p.s.: wenn jemand remote access mittels l2tp/ipsec drauf hat, seis mit zertifikaten oder ohne wäre mir auch ziemlich geholfen

[martin]

vor 2 jahren sollte sowas bei uns auch implementiert werden, wir (und partner) sind auch daran gescheitert.

damals hat die pix die zertifikate, die mit einer windows CA ausgestellt wurden nicht akzeptiert, irgendwas war da inkompatibel - auch wenn es sowas eigentlich nicht geben dürfte...


in den letzten 2 jahren sind sicher einige IOS releases herausgekommen, anscheinend hat sich dahingehend aber nichts geändert...

[forsti82]

das war jetzt nicht unbedingt was ich hören wollte, aber ich habs befürchtet
ist bei mir das gleiche, das erstellen der rsa keys, das einrichten der ca identity haut noch alles prima hin, nur bei ca authenticate haperts dann. er zeigt mir zwar brav den (richtigen) fingerprint der ca an aber ein enrollment haut dann nicht mehr hin ("please use ca authenticate first"). naja.

jetzt mal von zertifikaten abgesehen, l2tp mit ipsec, da irgendwelche erfahrungswerte? habe die pix laut vorgaben konfiguriert und ne l2tp verbindung am winxp client eingerichtet, aber da scheint es sich genauso irgendwo zu spießen... laut meiner unterlagen muss man zb darauf achten dass die SAs genau die lifetimes haben die auch windows verwendet und solche scherze. irgend ein tweak fehlt mir aber scheinbar noch....

[forsti82]

Wollte nur kurz vermelden, dass es letztlich doch geklappt hat - L2TP/IPSec zwischen einer PIX 515e und Windows XP über die nativen Bordmittel sowohl über PreShared Key als auch über Digitale Zertifikate.