Certyfikaty wieloznaczne innych firm do użytku z serwerem Microsoft NPS/RADIUS/PEAP


Chcę zastąpić certyfikat SSL używany dla protokołu PEAP na naszym serwerze NPS, który przeprowadza uwierzytelnianie RADIUS dla naszych Cisco WLC. Aktualny certyfikat to certyfikat SSL, który przeprowadza uwierzytelnianie klienta i serwera. Chcemy zastąpić go symbolem wieloznacznym, którego używamy gdzieś w naszej domenie, aby ułatwić zarządzanie naszymi certyfikatami SSL.
Przeczytałem dokument Microsoft doc

Tutaj
http://technet.microsoft.com/e ... .aspx
który określa wymagania dotyczące używania certyfikatu innej firmy z protokołem PEAP. Symbol wieloznaczny, którego używamy, pasuje do nich wszystkich. Pomoc techniczna firmy Microsoft nie może rozwiązać tego problemu w ciągu dwóch dni roboczych, a jedyną odpowiedzią jest „to musi być problem z certyfikatem”, ale nie mogą mi dokładnie powiedzieć, co jest z nim nie tak, ponieważ spełnia on wszystkie te wymagania. ...
Podczas gdy moja sprawa się eskaluje, przeprowadziłem pewne badania i inne osoby miały problemy z używaniem certyfikatów innych firm z protokołem PEAP na serwerze IAS/NPS z systemem RADIUS. O ile wiem, nie było oficjalnej odpowiedzi od firmy Microsoft. Czy ktoś wie na pewno, czy certyfikat typu wildcard może być używany do PEAP?
Zaproszony:
Anonimowy użytkownik

Anonimowy użytkownik

Potwierdzenie od:

Nie mogłem uzyskać bezpośredniej odpowiedzi od Microsoftu, ale wszystkie znaki wskazywały na certyfikat. Ostatecznie kupiłem 2048-bitowy certyfikat SSL dla jednej domeny, która obsługuje uwierzytelnianie klienta i serwera, i zainstalowałem go na serwerze NPS. W tym momencie wszystko wróciło do normy.
Implementacja protokołu PEAP/RADIUS/NPS firmy Microsoft wyraźnie nie działa dobrze z certyfikatami Wildcard, nawet jeśli nigdzie nie określają tego ograniczenia.

Edytować:

Po rozmowie z kimś z zespołu Microsoft PKI powiedziano mi, że skoro nasze duplikaty z symbolami wieloznacznymi mają nazwę przedmiotu * .OurSchool.edu, a nie nazwę serwera, klienci Windows odrzucą ją podczas negocjowania PEAP. Serwer jest wyraźnie wymieniony za pomocą swojej nazwy FQDN w polu Alternatywna nazwa podmiotu certyfikatu, ale oczywiście nie ma to znaczenia.
Inżynier pomocy technicznej potwierdził, że powoduje to problemy z wieloma certyfikatami typu wildcard. Jeśli korzystasz z urzędu certyfikacji innej firmy, który pozwoli ci uzyskać duplikaty twojego symbolu wieloznacznego z polem nazwy podmiotu serwera NPS i przenieść go do sieci SAN, to

musi

dobrze pracować. Nie przetestowaliśmy tej teorii, więc potraktuj ją z przymrużeniem oka.

Aby odpowiedzieć na pytania, Zaloguj się lub Zarejestruj się