Nicht Domänenmitglieder Zertifikate für W-LAN bereitstellen (802.1x)

[CKroencke]

Guten Tag liebes Forum.

Folgender Plan soll realisiert werden:

Es sollen mobile Geräte, die nicht-Domänenmitglieder sind(Android Handy, iPhone), in ein "Zertifikatsanforderungs W-LAN" über einen Server 2012 Standard Edition ein Zertifikat anfordern können.

Das Zertifikat wird dann über einen IAS/NPS kontrolliert und die Access-Points gewähren den Zugriff für das "Firmenintern" W-LAN.

Ich habe also auf dem Server 2012, nennen wir ihn S1, folgende Rollen installiert: "Zertifizierungsstelle" und "Zertifizierungsstelle-Webregistrierung".

Ich Verbinde das Gerät mit dem W-LAN und rufe folgende, konfiguriert HTTPS Seite auf:

https://s1/certsrv

Ich fordere dann über den Button "Neues Zertifikat anfordern" ein eigenes Clientauthentifizierungs-Zertifikat an.

Über die Zertifizierungsstelle stelle ich das Zertifikat daraufhin aus. Es erscheint folgender Fehler:

"Eine Zertifikatkette wurde zwar verarbeitet, endete jedoch mit einem Stammzertifikat, das beim Vertrauensanbieter nicht als vertrauenswürdig gilt. 0x800b0109"

Ganz wichtig: die Clients sind nicht in der Domäne, ich habe keine Domäne, möchte aber den W-LAN zugriff über Zertifikate regeln!

Könnt ihr mir helfen? Irgendwie scheint das gar nicht zu funktionieren.....

Auch gerne Verlinkungen zu einem Tutorial wäre mir lieb, weil Google spuckt bei mir nix aus.

[SilentDemise]

Der Fehler tritt auf dem Client oder der CA auf? Ist die CA in einem AD? Hast du Root Certificate und CRL entsprechend gepublished?

AIA und cdp konfiguriert?

[CKroencke]

Fehler tritt in der CA auf. Die CA wie gesagt ist in keiner Domäne, soll auch nicht sein, da die Webregistrieren auch ohne AD Funktionieren soll. Die CRL ist geplublished, das Root Zertifikat nicht. Wie mache ich das genau? Exportieren und am Client installieren?

AIA und CDP sagen mir grad nix, sorry.

[lupo49]

CDP steht für CRL Distribution Point (Adresse der Zertifikatssperrliste). AIA ist Authority Information Access. Das ist die Adresse, über die die CA-Zertifikate heruntergeladen werden können.

Gegen was soll denn der NPS das eingereichte Zertifikat validieren? Hast du im Active Directory für jedes Geräte ein eigenes Objekt angelegt?

In welcher Art von CA-Hierarchie hängt die CA, über die du mittels SCEP/NDES das Zertifikat anfordern möchtest? Ist das Zertifikat der übergeordneten CA als vertrauenswürdige Stammzertifizierungsstelle eingetragen?