A RADIUS naplózáshoz mindössze annyi kellett, hogy reboot ...
Okosabb nem sokkal lettem, mert:
1. Ha valamilyen csoda folytán sikerül egy kliens cert-et kreálnom,
akkor az NPS valamelyik policy-je hajt el ismeretlen hibával.
Ekkor már eljutok odáig, hogy volt Client Hello üzenet, viszont a
cert átvitelééig nem jutottam el.
2. Próbáltam cert-et csinálni magamnak olyan XP-re, ami nem
domain tag. Nem igazán sikerül, mert:
- DC-hez kéne csatlakoznom, hogy automatikusan megkaphassam
- IE-ből készítve User cert sablon alapján, akkor a usernév helyett
a teljes nevemmel készíti a cert-et, amit már ki se választ az XP
az EAP Identity Request felhívásra.
- ha kipipálom a Hitelesítés számítógépként, ..., akkor hozzáteszi
a megfelelő usernevemhez a "host/"-t (host/rattila). Természetesen
ez se jó. (ezek szerint azért valamelyik attribútumban csak benne
van az rattila!)
- IE felületen hiába vettem fel a használható cert sablonok közé
a Computer és a Workstation sablont, nem jelenik meg, tehát a
leírástól eltérően nem tudok Workstation-t választani és ilyen
cert-et készíteni.
- csináltam egy módosított User cert sablont User (Offline request)
névvel, amiben a Subject-et átállítottam az AD-ről megadandóra és
meg is jelenik az IE oldalán, ott vannak a mezők, de a kérés elküldése
hibára fut, a szerver visszautasítja valamilyen policy hibával.
Tehát az a mostani kérdésem, hogy hogyan kell non domain tagnak
cert-et csinálni, akármilyen módon Windows alatt, úgy, hogy az XP-s
usernevem legyen a Tulajdonos, ha jól értem.
Köszi:
