Добрый день. Какие сертификаты необходимы для работы продукта и в каком хранилище они должны лежать?

Пробовались сертификаты тестового центра для соединения 2-х клиентов и клиента с тестовым сайтом.
Сертификаты запрашивались через веб-интерфейс с типами "Сертификат проверки подлинности клиента" и "Сертификат IPSec".
CSP "Crypto-Pro GOST R 34.10-2001 Cryptographic Service Provider" с алгоритмом хеширования "GOST R 34.11-94"
На клиентах установлено КриптоПро CSP 3.6.7491
Получившиеся сертификаты были установлены в "Текущий пользователь - Личные - Реестр" и сертификат тестового центра КриптоПро в "Локальный компьютер - Доверенные корневые центры сертификации - Реестр"
IPSec на PSK работает корректно в случает соединения двух клиентов. На сертификатах останавливается обмен IKE после прихода 4-го пакета первой фазы, по логу функция p1_SetMyCertProv не вызывается.
Версия CryptoPro IPSec 1.0.1006

Отредактировано пользователем 8 октября 2013 г. 14:03:15(UTC)  | Причина: Не указана

Создал сертификат на тестовом центре, поместил его в "Локальный компьютер - Личные - Реестр"
Свойством "IKE-посредник IP-безопасности (1.3.6.1.5.5.8.2.2)" данный сертификат обладает.
Сертификат Test Center CRYPTO-PRO добавлен в "Локальный компьютер - Доверенные корневые центры сертификации - Реестр"
Процесс подключения к 193.37.157.89 останавливается после приема 4-го пакета:
(16:02:19.526) logger_func: IKE.API - p1_CreateSK sid=01226620.
(16:02:19.526) CPAgreeSkeyid: /SUCCESS/
(16:02:19.526) Detour_GenerateSKEYIDs - ok
(16:02:23.104) CPInfoThread: SA statistic:
(16:02:23.104) CPInfoThread: 1 (RCs) 1 (MMs), 0 (QMs), 0 (SPIs)


При попытке соединения двух клиентов(без дополнительной аутентификации)
(16:08:49.874) logger_func: IKE.API - p1_CreateSK sid=01226620.
(16:08:49.874) CPAgreeSkeyid: /SUCCESS/
(16:08:49.874) Detour_GenerateSKEYIDs - ok
(16:08:53.108) CPInfoThread: SA statistic:
(16:08:53.108) CPInfoThread: 1 (RCs) 1 (MMs), 0 (QMs), 0 (SPIs)

Из-за чего может происходить такая остановка на инициаторе по приему 4-го пакета?

Win XP.
Такого параметра в реестре нет, по-умолчанию действие эквивалентно 1 в этом параметре, т.е. при недоступности CRL ответ зависит от самого сертификата.
В сертификате тестового центра нет точек распространения CRL.

Попробую поднять свой CA, посмотрю, останется ли проблема.

UPD:
Поднял CA. Продвинулось дальше.
(18:45:31.389) Detour_GenerateSKEYIDs - ok
(18:45:33.295) CPInfoThread: SA statistic:
(18:45:33.295) CPInfoThread: 1 (RCs) 1 (MMs), 0 (QMs), 0 (SPIs)
(18:45:33.639) Detour_ConstructCertSig - cp
(18:45:33.639) CPSetMyCertProv: in
(18:45:33.639) logger_func: IKE.API - p1_SetMyCertProvFn sid=01225488.
(18:45:33.639) CPSetMyCertProv: /SUCCESS/
(18:45:33.639) CPCreateHashMM: in
(18:45:33.639) CPCreateHashMM: --------------------------- p1_AuthIRFn
(18:45:33.639) CPCreateHashMM: P1 = 01225488
(18:45:33.639) CPCreateHashMM: DT_EXTDATA (ID) (35) = 09000000301D311B301906035504030C12746573745F732D74657272615F6970736563
(18:45:33.639) CPCreateHashMM: ---------------------------
(18:45:33.639) logger_func: IKE.API - p1_AuthIRFn:1916 sid=01225488. Err: 0x1.
(18:45:33.639) CPCreateHashMM: /ERROR/
(18:45:33.639) Detour_ConstructCertSig - line: 378
(18:45:33.639) Detour_ConstructCertSig - error

Забыл, что указал пароль ключам. Все работает. Спасибо.

Отредактировано пользователем 8 октября 2013 г. 18:38:04(UTC)  | Причина: обновление поста

Бьюсь уже третий день, помогите.
Ситуация такова надо сделать VPN на базе Крипто Про IPSec. Есть две виртуальные машины, одна Windows 2003 другая Windows XP. На обоих установлено CSP 3.6 R3 и КриптоПро IPSec. Вместо PSK для L2TP хочу использовать сертификат. Создал сертификат на тестовом УЦ КриптоПро, установил его на своих тестовых машинах, работает. Создаю с такими же параметрами сертификат на своем тестовом УЦ, на моем сертификате не работает. Необходимые корневики установлены. Эти машины Интернета не видят, поэтому пришел к выводу что отсутствие CRL не влияет. Но на всякий случай подсовывал CRL своего тестового УЦ, все равно не работает. Уже не знаю куда смотреть.

1. Пробовал версии 1.0.1006 и 1.0.1224. Сейчас на сервере 1.0.1006. На одном клиенте 1.0.1006 а на другом 1.0.1224
2. После обновления списка, появляется мой сертификат.