VPN MainMode Fehler: Could not get private key

[Micha81]

Ich versuche gerade meine erste Main Mode Verbindung hinzubekommen. Zur Zeit scheitere ich an der Fehlermeldung rsa_sig_encode_hash: could not get private key. Die Meldung sagt eigentlich alles aus, ich verstehe nur nicht wie ich das beheben kann.

Ich habe alle benötigten Zertifikate erfolgreich als PKCS#12 Datei in den VPN1 Container des Lancoms hochgeladen. Die Zertifikate habe ich mit XCA nach der entsprechenden Anleitung in der Knowledgebase erstellt. Ich gehe daher davon aus, dass sich Root-Zertifikat, Geräte-Zertifikat und Private Key auf dem Lancom befinden. Aber irgendwo klemmt es.

Was raten die Experten was ich nun tun könnte ?

Danke und Gruß

[Cytor]

Bist du denn sicher, dass der private key auch in die pkcs#12 Datei exportiert wurde? Ich glaube, das kann/muss man bei XCA separat anhaken.

[Micha81]

Ich habe nochmal geschaut. Beim Export der pkcs#12 Datei sehe ich nirgendwo die Möglichkeit einzustellen, welche Schlüssel exportiert werden sollen. Laut Doku enthält die Datei auch immer den private key. Bin ziemlich ratlos.

[Bernie137]

Hallo Micha81,

schau doch mal hier, ob Dir das weiter hilft:
http://www.lancom-forum.de/fragen-zum-t ... zertifikat
http://www.lancom-forum.de/post70761.html#p70761

vg Bernie

[Micha81]

Das Problem ist erstmal gelöst. Danke Bernie. Ohne das ich es momentan wirklich verstehe lag es wohl an fehlerhaften ASN.1 Einträgen. Die Fehlermeldung des Lancoms bezüglich des Private Keys war irreführend. Gemerkt habe ich das als ich ein wenig mit den Identitäten gespielt habe und jedesmal eine andere Fehlermeldung kam.

Jedenfalls sind in meinem Fall bei den IKE-Identitäten sowohl für die lokale als auch die entfernte Identität die ASN.1 Namen des Client Zertifikats einzutragen. Dann geht es reibungslos. Ich hatte unter der lokalen Identität die Daten des Root-Zertifikates eingetragen. Mit den XCA-Zertifikaten hatte das alles nichts zu tun.
Somit ist dann erstmal ein Anwender glücklich. Ich mache mich dann jetzt an die Erzeugung und Installation der anderen Client Zertifikate. Mal schauen wie das funktioniert.