Lan zu Lan Kopplung mit Zertifikaten

[Werner]

Hallo zusammen,
ich versuch eine Lan zu Lan Kopplung mit Zertifikaten auf die Beine zu stellen.
Auf der einen Seite ist eine Lancom 1821 ( 5.20) auf der anderen eine Fortinet Firewall.
Die VPN Verbing von der Lancom zur Fortinet habe ich mit einem Preshare Key hinbekommen, nun möchte ich es aber mit selbst signierten Zertifikaten schaffen.
Auf der Fortinet sowohl auf der Lancom sind die Zertifikate installiert.
Wenn ich mich jetzt mit dem Netzwerk hinter der Fortinet Fierwall auf einen Server verbinden will, so soll doch die Lancom die VPN- Verbindung aufbauen. Aber das macht sie nicht.
Auf der Fortinet sehe ich folgende Fehlermeldung:
4 2005-12-05 20:18:11 notice delete_phase1_sa delete phase1 sa
5 2005-12-05 20:18:11 notice negotiate Responder: parsed 80.132.118.84 aggressive mode message #1 (ERROR)
6 2005-12-05 20:18:11 notice Negotiate SA Error: No proposal can be chosen.

Das würde doch bedeuten das die IKE Einstellungen auf beiden Seiten nicht übereinstimmen. Ich habe es 100 mal überprüft und kann leider keinen Fehler finden.



Auf der Lancom sehe ich folgenden Fehler:

[VPN-Status] 2005/12/05 21:28:32,610
VPN: connecting to FORTINET (xxx.xxx.xxx.xxx)

[VPN-Status] 2005/12/05 21:28:32,610
VPN: installing ruleset for FORTINET (xxx.xxx.xxx.xxx)

[VPN-Status] 2005/12/05 21:28:32,630
VPN: ruleset installed for FORTINET (xxx.xxx.xxx.xxx)

[VPN-Status] 2005/12/05 21:28:32,630
VPN: start IKE negotiation for FORTINET (xxx.xxx.xxx.xxx)

[VPN-Status] 2005/12/05 21:28:32,650
VPN: rulesets installed

[VPN-Status] 2005/12/05 21:28:32,660
IKE info: Phase-1 negotiation started for peer FORTINET rule isakmp-peer-FORTINET using AGGRESS
IVE mode


[VPN-Status] 2005/12/05 21:28:32,760
IKE info: unexpected cleartext message received from peer unknown and dropped in phase-2


[VPN-Status] 2005/12/05 21:28:32,760
IKE log: 212832 Default dropped message from xxx.xxx.xxx.xxxport 500 due to notification type I
NVALID_FLAGS


[VPN-Status] 2005/12/05 21:28:32,760
IKE info: dropped message from peer unknown xxx.xxx.xxx.xxxport 500 due to notification type IN
VALID_FLAGS


[VPN-Status] 2005/12/05 21:28:39,850
IKE log: 212839 Default message_recv: invalid cookie(s)


[VPN-Status] 2005/12/05 21:28:39,850
IKE log: 212839 Default dropped message from xxx.xxx.xxx.xxxport 500 due to notification type I
NVALID_COOKIE



Wenn einer eine Idee hat, oder selber mal mit Zertifikaten gearbeitet hat würde ich mich über eine Idee oder Hilfestellung freuen.

Bis dann

Werner