Probleme mit Zertifikaten nach CA Migration bei VPN über L2TP/IPSec
Frage
Alle Antworten
-
Hallo Frank,
hm... aber wie ist dann im Migrationsplan zu verstehen, dass sich der Servername (Hostname) ändern darf nur der Name der CA nicht? Bei mir ist der CA Name gleich geblieben. Nur der Servername hat sich verändert. Laut der Beschreibung in diesem Abschnitt sollte das doch klappen oder?
Danke Dir und Grüße,
To edit the CA registry settings
-
Click Start, type regedit.exe in the Search programs and files box, and press ENTER to open the Registry Editor.
-
In the console tree, locate the key
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\CertSvc\Configuration, and click Configuration. -
In the details pane, double-click DBSessionCount.
-
Click Hexadecimal. In Value data, type 64, and then click OK.
-
Verify the locations specified in the following settings are correct for your destination server, and change them as needed to indicate the location of the CA database and log files.
- DBDirectory
- DBLogDirectory
- DBSystemDirectory
- DBTempDirectory
Important
Complete steps 6 through 8 only if the name of your destination server is different from the name of your source server. - DBDirectory
-
In the console tree of the registry editor, expand Configuration, and click your CA name.
-
Modify the values of the following registry settings by replacing the source server name with the destination server name.
Note
In the following list, CACertFileName and ConfigurationDirectory values are created only when certain CA installation options are specified. If these two settings are not displayed, you can proceed to the next step. - CAServerName
- CACertFileName
- ConfigurationDirectory – This value should appear in Windows Registry under the following location:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\CertSvc\Configuration
- CAServerName
-
-
Guten Morgen,
ich habe soeben mal den BPA für die Zertifikatsdienste laufen lassen und er meckerte, dass keine Sperrlisten angelegt seien. Dazu habe ich dann die Webdienste installiert und eine Sperrliste auf http://servername/certenroll angelegt und im Zertifikatsmanager unter CAName --> Eigenschaften --> Erweiterungen mit http://<ServerDNSName>/CertEnroll/<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl angelegt.
Der BPA Fehler ist danach verschwunden, allerdings bekomme ich nun folgende Fehler in der Zertifikatsdienste Konsole. Siehe Bild.
Was mich ein wenig stuzig macht ist, dass a) der Speicherort für Sperrlisten-Verteilungspunkte abläuft und der DeltaCRL bereits abgelaufen ist. Beim DeltaCRL wird allerdings noch auf den alten Server verwiesen. Ist das evtl. das Problem?
Aktuell wird intern z.B. per IE den Zertifikaten der CA vertraut und es bestehen auch keine Fehler, nur im VPN gibt es noch Probleme.
Hat jemand von Euch eine Idee?
Danke Euch und Grüße,
André
-
Hallo André,
du musst noch die Berechtigungen im AD anpassen. Aktuell hat nur das Computerobjekt der alten CA die Berechtigung um CRLs ins AD zu schreiben. Die notwendigen Schritte sind unter [1] beschrieben.[1] http://technet.microsoft.com/en-us/library/ee126140(WS.10).aspx#BKMK_GrantPermsAIA
Viele Grüße,
Florian Raichle
TechNet Hotline für TechNet Online Deutschland
Disclaimer:
Bitte haben Sie Verständnis dafür, dass wir hier auf Rückfragen gar nicht oder nur sehr zeitverzögert antworten können.
Bitte nutzen Sie für Rückfragen oder neue Fragen den telefonischen Weg über die TechNet Hotline:
.jpg)
Es gelten für die TechNet Hotline und dieses Posting diese Nutzungsbedingungen, Hinweise zu Markenzeichen sowie die allgemein gültigen Informationen zur Datensicherheit sowie die gesonderten Nutzungsbedingungen für die TechNet Hotline. -
Hallo André,
ist denn der CDP der alten CA noch erreichbar? Also http://alterserver/Certenroll/CAname.crl? Weil dieser Pfad ist ja noch in bereits ausgestellten Zertifikaten enthalten. Üblich ist es, hier im DNS einen CName "Alter Server" anzulegen und diesen auf den neuen Server zeigen zu lassen. Bezüglich der AD-Berechtigungen, hast du den CA-Dienst nach dem Setzen der Berechtigungen einmal neugestartet?
Viele Grüße,
Florian Raichle
TechNet Hotline für TechNet Online Deutschland
Disclaimer:
Bitte haben Sie Verständnis dafür, dass wir hier auf Rückfragen gar nicht oder nur sehr zeitverzögert antworten können.
Bitte nutzen Sie für Rückfragen oder neue Fragen den telefonischen Weg über die TechNet Hotline:
Es gelten für die TechNet Hotline und dieses Posting diese Nutzungsbedingungen, Hinweise zu Markenzeichen sowie die allgemein gültigen Informationen zur Datensicherheit sowie die gesonderten Nutzungsbedingungen für die TechNet Hotline. -
Hallo André,
soweit ich das verstanden habe tritt weiterhin der Fehler 853 an den Clients auf und der DeltaCRL-Speicherort ist abgelaufen. Stimmt das?
Standardmäßig werden die CRLs und DeltaCRLs unter "Systemroot\system32\CertSrv\CertEnroll\" gepublished (siehe [1]). Hast Du diesen Pfad in den Einstellungen der CA auf dem Tab Extensions (CRL Distribution Point markiert) eingetragen und die beiden Haken "Publish CRLs to this location" und "Publish Delta CRLs to this location" gesetzt?
[1] http://technet.microsoft.com/en-us/library/cc778151(WS.10).aspx (Manually publish the certificate revocation list)
Viele Grüße,
Benedict Schendzielorz
TechNet Hotline für TechNet Online Deutschland
Disclaimer:
Bitte haben Sie Verständnis dafür, dass wir hier auf Rückfragen gar nicht oder nur sehr zeitverzögert antworten können.
Bitte nutzen Sie für Rückfragen oder neue Fragen den telefonischen Weg über die TechNet Hotline:
Es gelten für die TechNet Hotline und dieses Posting diese Nutzungsbedingungen, Hinweise zu Markenzeichen sowie die allgemein gültigen Informationen zur Datensicherheit sowie die gesonderten Nutzungsbedingungen für die TechNet Hotline.
