VPN's (Virtual Private Networks) op basis van Secure Socket Tunneling Protocol (SSTP) en Internet Key Exchange versie 2 (IKEv2) maken gebruik van verificatiemethoden op basis van certificaten. Als u VPN's op basis van SSTP of IKEv2 wilt ondersteunen, moet u een correct geconfigureerd certificaat op de VPN-server installeren.

De computercertificaat die u op de RRAS-server configureert, moet ofwel de EKU-eigenschap (Enhanced Key Usage) Serververificatie of Alle hebben. Dit computercertificaat wordt gebruikt door de VPN-client om de RRAS-server te verifiëren wanneer de sessie tot stand wordt gebracht.

Waar moeten certificaten worden geïnstalleerd

Op de RRAS-server:

  • Installeer het basiscertificaat voor de certificeringsinstantie die het serververificatiecertificaat heeft uitgegeven in het archief Local Computer\Trusted Root Certification Authorities.

  • Installeer het serververificatiecertificaat dat is uitgegeven door de certificeringsinstantie in het archief Local Computer\Personal.

Op de externe VPN-client:

  • Installeer het basiscertificaat voor de certificeringsinstantie die het serververificatiecertificaat heeft uitgegeven in het archief Local Computer\Trusted Root Certification Authorities. Dit is vereist voor de client om het serververificatiecertificaat te vertrouwen dat wordt geleverd door de server.

  • Als de client IKEv2 VPN-verbindingen naar de server moet gebruiken, moet een clientverificatiecertificaat dat is uitgegeven door de certificeringsinstantie worden geïnstalleerd in het archief Local Computer\Personal.

Belangrijk
  • Bij SSTP VPN-verbindingen moet de client standaard kunnen bevestigen dat het certificaat niet is ingetrokken door de server te controleren die in het certificaat wordt aangeduid als host voor de CRL (Certificate Revocation List, certificaatintrekkingslijst). Als de server die als host dient voor de CRL niet kan worden bereikt, mislukt de validatie en wordt de VPN-verbinding verbroken. Voorkom dit door de CRL te publiceren op een server die toegankelijk is op internet, of door de client zo te configureren dat geen CRL-controle nodig is. Als u de CRL-controle wilt uitschakelen, maakt u een registerinstelling op de volgende locatie:
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Sstpsvc\parameters
  • De instelling moet een DWORD-waarde genaamd NoCertRevocationCheck zijn. Stel de waarde in op 1.

Aanvullende naslaginformatie

Inhoudsopgave