Verwendung von Zertifikaten

[kelm]

Hallo,

ich blicke momentan noch nicht so ganz durch die unterschiedlichen Zertifikats-Upload-Optionen durch, die Lanconfig bietet. Die VPN- und RADSEC (hiess die nicht mal EAP/TLS?) sind natürlich klar und im Referenzhandbuch ja auch dokumentiert. Was ist aber (im Detail) mit den anderen, z.B. "Meldung von Login"?

SSL - Zertifikat (*.pem, *.crt. *.cer [BASE64])
SSL - Privater-Schlüssel (*.key [BASE64 unverschlüsselt])
SSL - Root-CA-Zertifikat (*.pem, *.crt. *.cer [BASE64])
SSL - Container als PKCS#12-Datei (*.pfx, *.p12)
SSH - RSA-Schlüssel (*.key [BASE64 unverschlüsselt])
SSH - DSA-Schlüssel (*.key [BASE64 unverschlüsselt])
SSH - akzeptierte öffentliche Schlüssel
VPN - Root-CA-Zertifikat (*.pem, *.crt. *.cer [BASE64])
VPN - Geräte-Zertifikat (*.pem, *.crt. *.cer [BASE64])
VPN - Privater-Geräte-Schlüssel (*.key [BASE64 unverschlüsselt])
VPN - Container als PKCS#12-Datei (*.pfx, *.p12)
RADSEC - Root-CA-Zertifikat (*.pem, *.crt. *.cer [BASE64])
RADSEC - Geräte-Zertifikat (*.pem, *.crt. *.cer [BASE64])
RADSEC - Privater-Geräte-Schlüssel (*.key [BASE64 unverschlüsselt])
RADSEC - Container als PKCS#12-Datei (*.pfx, *.p12)
Meldung von Login (einfacher Text)

Über eine erhellende Antwort freue ich mich.

Peter

[alf29]

Moin,

Die VPN- und RADSEC (hiess die nicht mal EAP/TLS?)

RADSEC und EAP/TLS sind zwei getrennte Dinge (und sollten auch noch so im Upload-Dialog
auftauchen, wenn nicht, wäre das ein Bug). EAP/TLS bezieht sich auf 802.1x, also wenn ein
LANCOM entweder als Client sich mit 802.1x authentisiert, typischerweise als WLAN-Client, oder
als RADIUS-Server die Methoden EAP/TLS, TTLS oder PEAP anbietet. RADSEC ist dagegen
ein anderes Transportprotokoll für RADIUS-Pakete, nämlich TCP und TLS anstelle einfachen UDP.
Daß darüber dann wieder EAP/TLS laufen könnte, ist eine andere Sache mit einem anderen Satz
Zertifikate (eben den EAP/TLS-...Dateien).

Je nach Gerät werden nicht immer alle Dateien angeboten, z.B. wird der EAP/TLS-Block in einem
'einfachen' Router fehlen, weil er weder einen RADIUS-Server noch einen 802.1x-Client enthält.
Du hast leider nicht dazugeschrieben, von welchem Gerät diese Liste stammt...

Was ist aber (im Detail) mit den anderen, z.B. "Meldung von Login"?

Wie schon in der Liste beschrieben, ist das ein einfaches Text-File, das bei jeder Anmeldung
ausgegeben wird (so etwa wie die /etc/issue auf einem Unix-System). Manche Kunden
'personalisieren' sich damit ihr Login, um die einzelnen Geräte besser auseinanderhalten zu
können.

Gruß Alfred

[kelm]

Hallo Alfred,

vielen Dank für die schnelle Antwort.

Die Liste stammt von einem 1722 (LCOS 7.7), kopiert aus dem Webinterface. Ich habe mir das gerade auch im Lanconfig (7.70.0011 Rel) angesehen - die Liste mit den Zertifikatstypen ist dort etwas anders.

Statt RADSEC gibt es Einträge für EAP/TLS (daher das Missverständnis). Fünf Einträge für SCEP-CA fehlen, dazu die folgenden zwei für SSL:
SSL - Root-CA-Zertifikat (*.pem, *.crt. *.cer [BASE64])
SSL - Container als PKCS#12-Datei (*.pfx, *.p12)

Wenn ich das richtig interpretiere liesse sich damit eine PKCS#12-Datei für die Absicherung der SSL-Verbindung nur übers Webinterface importieren...

Bug oder Feature?

Peter

P.S. Ich hatte mich vor kurzem über seltsame Zeichen beim SSH-Login in den 1722 gewundert. Ich vermute, das hing an einem issue-File. Nach Factory-Reset und Rückspielen der Konfiguration (und der Zertifikate) war das Phänomen weg.

P.P.S.: Wie kann ich mir den Inhalt der "Dateien" unter "/Status/File-System/Contents" eigentlich ansehen? "show vpn {ca|cert}" kenne ich schon...

[alf29]

Moin,

SSL - Root-CA-Zertifikat (*.pem, *.crt. *.cer [BASE64])
SSL - Container als PKCS#12-Datei (*.pfx, *.p12)

Wenn ich das richtig interpretiere liesse sich damit eine PKCS#12-Datei für die Absicherung der SSL-Verbindung nur übers Webinterface importieren...

Ginge auch noch über SCP, aber das ist nur etwas für CLI-Junkies...

Bug oder Feature?

Wohl eher ein Bug, HTTPS im Web-Interface können ja alle Geräte...

P.P.S.: Wie kann ich mir den Inhalt der "Dateien" unter "/Status/File-System/Contents" eigentlich ansehen? "show vpn {ca|cert}" kenne ich schon...

Also ein 'allgemeines' Kommando wie type oder cat gibt es nicht. Für EAP/TLS z.B. gibt
es z.B. ein 'show eaptls'.

Gruß Alfred