Добрый день, нам необходимо развернуть VPN на ГОСТ-шифровании, нашел на сайте описание продукта КриптоПроIPSec, скачал демо-версию..
к сожалению развернуть VPN не получилось...КриптоПро IPSec установли на шлюзе и удаленной машине. При попытке подключения по L2TP выдавалась ошибка 786 при настройках аутентификации по сертификату (отсутствует допустимый сертификат) и 789 если пытались использовать предварительный ключ...Я подозреваю что дело в сертификатах.
Насколько я понял для каждой машины необходимы как минимум 2 сертификата - 1 пользовательский в пользовательском хранилище для аутентификации, второй IPSec - в хранилище компьютера.
Для генерации сертификатов я использовал изолированный корневой MS CA с установленным КриптоПро 3.6 R2, при генерации выбирал следующие типы сертификатов для клиентской машины - сертификат подлинности клиента и сертификат IPSec, для шлюза - сертификат подлинности сервера и сертификат IPSec.
Настройку RRas и ISA осуществлял по документации. Возможно надо было использовать корпоративный тип CA?
Может быть ещё необходимо сделать какие-нибудь локальные настройки на машине?

Соединение по паролю через PPTP есть. Насчет шаблонов...я устанавливал корневой изолированый CA, у него нет шаблонов...просто при генерации сертификатов выбирается тип сертификата и используемый провайдер, какие я выбирал значения я указывал...Криптопровайдера естественно выбирал КриптоПро..Корневой сертифкат установлен в хранилище корневых доверенныц центров...Список отозванных сертификатов на клиентской машине не был установлен, я установил, хотя отозванных сертификатов все равно не было..После этого ситуация изменилась - теперь выдается сообщение с кодом 691 - имя пользователя или пароль недопустимы в домене, а на шлюзе в журнале приложений создается сообщение Источник: cpsspap Код:300 КриптоПро TLS. Ошибка 0x8009200b при обращении к CSP: Не удается найти сертификат и закрытый ключ для расшифровки...это в случае попытки аутентификации по сертификатам...когда ставлю предварительный ключ - ошибка прежняя 789.
Шлюз в домене...может дело в том, что создаваемые сертификаты не публикуются в AD и не привязываются к учетным записям пользователей и машин?

Отредактировано пользователем 13 сентября 2010 г. 13:23:48(UTC)  | Причина: Не указана

PSK я уже пробовал, и какая была ошибка тоже уже писал...указал ваш предварительный ключ - не помогло...ссылку на настроку CA не понял...повторяю использую корневой ИЗОЛИРОВАННЫЙ CA там вообще НЕТ шаблонов...CA редактировал, КриптоПРО у меня светится в списке доступных провайдеров на веб-странице...про при генерации выбирал тип сертификата IPSec и указывал из списка доступных провайдеров КриптоПро...Имеет ли значение имя, которое я указываю в сертификате - может оно должно точно совпадать с именем машины и учетной записи (в том числе и имя домена)?
Вы мне скажите точно - какие сертификаты надо генерить? Пользовательские для аутентификации и IPSec для шифрования, так?

По СА сертификат должен ставится в хранилище компьютера, Вы должны выбрать соответствующую галку на Веб страничке

Напишите на support@cryptopro.ru вышлем исправленную версию