Hi
Kurz mein Problem:
2 HYPER-V Server, HYP01-SRV und HYP02-SRV beide sind mit einer dedizierten LAN Leitung verbunden (keine Domain Verbund).
HYP01-SRV soll auf HYP02-SRV replizieren. Das geht bei dediziertem LAN ja nur per Zertifikate.
Daher habe ich welche erstellt lt. Anleitung hier:
http://technet.microsoft.com/en-us/library/jj134153.aspx#BKMK_1_5
Zwar scheinen mir im Pkt. 6 ein Fehler es müsste lt. meinem Empfinden nicht das PrimaryTestCert.cer sondern ReplicaTestCert.cer erzeugt werden (was ich geändert habe)
Daher habe ich auf HYP01-SRV es so gemacht:
makecert -pe -n "CN=PrimaryReplicaRootCA" -ss root -sr LocalMachine -sky signature -r "PrimaryReplicaRootCA.cer"
makecert -pe -n "CN=HYP01-SRV" -ss my -sr LocalMachine -sky exchange -eku 1.3.6.1.5.5.7.3.1,1.3.6.1.5.5.7.3.2 -in "PrimaryReplicaRootCA" -is root -ir LocalMachine -sp "Microsoft RSA SChannel Cryptographic Provider" -sy 12 PrimaryReplicaCert.cer
certutil -addstore -f Root "SecondaryReplicaCert.cer"
Auf dem Replica Server HYP02-SRV so:
makecert -pe -n "CN=SecondaryReplicaRootCA" -ss root -sr LocalMachine -sky signature -r "SecondaryReplicaRootCA.cer"
makecert -pe -n "CN=HYP02-SRV" -ss my -sr LocalMachine -sky exchange -eku 1.3.6.1.5.5.7.3.1,1.3.6.1.5.5.7.3.2 -in "SecondaryReplicaRootCA" -is root -ir LocalMachine -sp "Microsoft RSA SChannel Cryptographic Provider" -sy 12 SecondaryReplicaCert.cer
certutil -addstore -f Root "PrimaryReplicaCert.cer"
Wobei das certutil erst nach gegenseitigem Kopieren der *.cer ausgeführt wurde.
Ebenfalls Punkt 9 scheint falsch bzw. nur die halbe Wahrheit, weil bei Replication ebenfalls der Wert: DisableCertRevocationCheck auf 1 stehen muss, sonst wird das Zertifikat nicht angenommen.
All das hat geklappt.
Firewall Port ist freigegeben.
Am HYP01-SRV wollte ich nun die Replica anschieben. Dies gelingt mir nicht.
Obwohl auch dort das Zertifikat OK scheint, kommt immer diese Meldung:
Vom Hyper-V wure ein ungültiges digitales Zertifikat vom Replikatsserver "HYP02-SRV" empfangen. Fehlr: Eine Zertifikatskette wurde zwar verarbeitet, endete jedoch mit einem Stammzertifikat, das beim Vertrauensanbieter nicht als vertrauenswürdig gilt. (0x800B0109)
Die Stammzertifikate wurden von HYP02-SRV und HYP01-SRV gegenseitig hinzugefügt.
Wo ist die Zertifikatekette unterbrochen?
Wo mein Fehler liegt?
Vielen Dank für Eure Hilfe.
Totalverschneite Grüße aus dem Erzgebirge.
Danke und liebe Grüße Oliver Richter
