Domänenanmeldung über MD5-Challenge

[grizzly999 11]

Aber nochmal kurz vorweg, die MD5-Challenge Authentifizierung funktioniert!!!!

Mit 99,9999999999%iger Sicherheit nicht. Du hast nicht mal die Grundlegenden Einstellungen, die dazu nötig sind, durchgeführt, da kann das nicht gehen (siehe Häkchen im Beitrag vorher). Die Authentifizierung findet bestimmt anders statt.

 

grizzly999

[grizzly999 11]

Ein Blick in das Log des RADIUS müsste die Authentifizeriung zu Tage fördern. Dabei hilft das Support Tool iasparse.exe

[Pitt84 10]

Die MD5-Authentifizierung funktioniert sehr wohl. Das Häkchen für "Kennwörter mit umkehrbarer Verschlüsselung speichern", wenn Du das meinst, habe ich schon vor ein paar Tagen gesetzt, aber nicht am Konto, sondern als Kontorichtlinie für Domänen. Ohne diese Einstellung funktioniert es ja nicht!!!

 

Zertifikate sind nicht unbedingt nötig, das ist richtig, da man auch den haken wegnehmen kann bei "Serverzertifikat überprüfen".

[Pitt84 10]

Außerdem wollte ich ja nur wissen, warum man mit EAP-MD5 diese Einstellung nicht vornhemen kann in den Eigenschaften der Netzwerkverbindung so wie bei MSCHAPv2. MD5 läuft und das habe ich mittels Wireshark überprüft.

 

Und jetzt wollte ich eben einfach auf MSCHAPv2 wechseln, damit ich diese Option setzen kann. Allerdings funktioniert das nicht aus irgendwelchen Gründen.

[Pitt84 10]

Kann mir denn jetzt keiner vernünftig helfen? Ich habe jetzt alle Authentifizierungsmethoden deaktiviert bis auf MSCHAPv2 (wenn ich alle bis auf md5 deaktiviere, funktioniert die MD5 Authentifizierung).

Es geht aber einfach nicht und ich bin jetzt echt ratlos.

 

grizzly: Das mit dem MSCHAPv2 stimmt, Client UND Server müssen beweisen, dass sie das Kennwort kennen. Sweit so gut...im Internet die Quellen sind so für den *****...da steht es nämlich so mit dem Serverzertifikat(was ja auch möglich ist oder).

 

Naja auch egal, wie muss ich denn weiter vorgehen. Auf dem XP Client habe ich MSCHAP konfiguriert und auf dem IAS auch in der RAS Richtlinie im IAS. Der IAS ist auch mit der AD verbunden und Mitglied derselbigen.

 

 

Gruß

[Pitt84 10]

So...den Thread kann man abschließen...wer Infos möchte, kann mich gerne zu dem Thema 802.1x und iAS anschreiben.

 

Grizzly: Ich danke Dir auch für Deine Antworten. Es war allerdings falsch, dass der Server kein Zertifikat braucht, er braucht eins allein für den TLS Tunnel. (SSL/TLS-Handshake aber ohne Client Zertifikat im Gegensatz zu EAP-TLS)

 

Wenn der Client das Zertifikat zusätzlich überprüfen soll, muss dieses Zertifikat des Servers natürlich vom Client noch angefordert werden über die mmc. Der Fehler bei mir letztendlich war der, dass das Zertifikat des Servers im eigenen Benutzerkonto nicht drin war. Nach einem Neustart und nem gpupdate /target:servername hat es dann funktioniert.

 

 

Achja natürlich alles über PEAP-EAP-MS-CHAPv2...

 

Gruß, Pitt

[dmayer 10]

==========================================