IPSec + Zertifikate

[Duff]

Hallo,

ich habe eine Frage zu IPSec mit racoon unter 2 Linux(debian)-Rechnern.

Sobald ich den IPSec-Tunnel von preshared-keys auf X.509-Zertifikate umstelle, geht nichts mehr.

Ich habe die Zertifikate mit Hilfe von CA.pl erstellt.

In etwa so:

Code: Alles auswählen

# Anlegen der Zertifikatsautorität und deren privaten Schlüssel
# Dateien: cacert.pem und cakey.pem
./CA.pl -newca

# Neue Zertifikatsanfrage erzeugen
# Datei: newreq.pem
# (Der zu dieser Anfrage passende Schlüssel wurde ebenfalls in der Datei gespeichert, jedoch vorhem mit dem eingegebenen Kennwort verschlüsselt)
./CA.pl -newreq

# Signaturanfrage signieren
# Datei: newcert.pem
./CA.pl -sign

# Zertifikate zum jeweiligen Rechner zuordnen
# mv newreq.pem client1_req.pem
# mv newcert.pem client1_cert.pem

Soweit so gut.

Da racoon wohl nicht in der Lage ist, einen verschlüsselten privaten Key zu lesen, sollen diese noch entschlüsselt werden.

Aber dies bekomme ich wohl nicht korrekt mit openssl hin.

Die "alte" Syntax lautete:

Code: Alles auswählen

openssl rsa -in client1_req.pem -out client1_req.pem

Kennt sich jemand mit der Einrichtung von IPSec + racoon + Zertifikate aus?


Danke.

[Duff]

Niemand eine Idee oder sowas im Einsatz?

[sdh82]

Mit racoon nicht, jedoch mit openswan betreibe ich grad.

[Duff]

Danke für die Antwort.

Bin mittlerweile auch wieder einen Schritt weiter gekommen.
Kann nun endlich die Zertifikate erstellen und eine Verbindung zwischen 2 linux-Rechner per Tunnel- oder Transport-Mode funktioniert.

Nun scheitere ich gerade daran, die Konfiguration dahingehend abzuändern, dass ich mich mit sogenannten Roadwarriors verbinden kann.
Weiß nicht genau, ob ich da auch was an den Zertifikaten ändern muss, weil nun keine Phasen von IPSec durchlaufen werden...
(Habe zu Testzwecken auf dem Server und dem Client das gleiche Zertifikat mit cert.pem und key.pem über die /etc/racoon/racoon.conf eingebunden; auf dem Server ist die /etc/ipsecinit.conf leer und auf dem Client weiß nicht so geanu, was ich eintragen muss)