Loco con el certificado!!

Entonces un usuario normal no puede pedir un certificado de equipo?
lo tiene que hacer el administrador?

"Guillermo Delprato [MS-MVP]" wrote:

Cuando te conectas con IPSec y certificado, este último no es del
usuario sino del equipo, ya que en este caso hay una doble
autenticación: primero las máquinas y luego el usuario
De por si, los valores por omisión en el caso planteado, la
autenticación del usario se hace por MS-CHAP v2 (XP a W2k3)

El que tenga que hacerlo un administrador, es porque tiene que
instalar un certificado de *máquina*, lo cual afectará a *todos* los
usuarios de ese equipo

IPSec puede usar para autenticación de equipos: Kerberos,
certificados, o clave compartida
Para usar Kerberos, ambas máquinas *deben* estar en el mismo bosque
Para usar Certificados, ambas máquinas deben tener una autoridad
certificador en común, o por lo menos coincidir en una autoridad
certificadora en común en la cadena de certificados. En tu caso no
quedaría más que usar una autoridad certificadora comercial, o que
la instales de tipo "stand-alone" de forma que puedas otorgar
certificados a entes externos El uso de clave compartida, es lo más
sencillo, pero su seguridad no se compara, es mucho menor

Saludos

Guillermo Delprato
MVP-MCT-MCSE-MCSA-MCP
Buenos Aires, Argentina

NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
beneficiamos todos.

http://support.microsoft.com/kb/555375/en-us

Este mensaje se proporciona "como está" sin garantías de ninguna
clase,
y no otorga ningún derecho. Ud. asume los riesgos This posting is
provided "AS IS" with no warranties, and confers no rights. You
assume
all risk for your use.




Javi wrote:

Buenas, estoy probando los certificados en casa, y tengo un par de
problemas.

Estoy con el W2003 con una Enterprise CA y todo correcto, en el
segundo ordenador tengo otro W2003 y todo perfecto.
La cosa está en que estoy haciendo VPN con los 2. Por PPTP me
funciona perfectamente, entonces estoy probando los certificados
con Ipsec.

La cosa esta en que necesito el certificado Ipsec y certificado de
máquina, con que esta el SERVER02 conectado al dominio, si entro
como Administrador pues puedo pedir el certificado Ipsec y de
equipo sin ningún problema, hago la prueba del VPN y funciona
correcto con Ipsec. Si entro con una cuenta de usuario normal, a la
hora de pedir certificado solo me da de USER y EFS. Cuando lo
pruebo me va bien, porque el certificado de equipo es el mismo que
he utilizado antes.

Lo que querría saber en para un usuario normal que privilegios tiene
que tener para que me salga la opción de pedir un certificado Ipsec
y de máquina, ya que me he leido los libros que he podido pero
ninguno me lo aclara.

Para el segundo punto, es para que un usuario que no es del dominio
(por ejemplo me quiero conectar con mi ordenador de casa al de la
empresa), como puedo crear una cuenta de equipo para despues
exportar e importar en mi equipo sin que tenga problema, ya que he
importado el Ipsec y va bien, pero me falta el certificado de
equipo.

Gracias de antemano.

Exacto. Habría que investigar a ver si se pudiera delegar este privilegio,
pero lo veo difícil

Saludos

Guillermo Delprato
MVP-MCT-MCSE-MCSA-MCP
Buenos Aires, Argentina

NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
beneficiamos todos.

http://support.microsoft.com/kb/555375/en-us

Este mensaje se proporciona "como está" sin garantías de ninguna clase,
y no otorga ningún derecho. Ud. asume los riesgos This posting is
provided "AS IS" with no warranties, and confers no rights. You assume
all risk for your use.




Javi wrote:
> Entonces un usuario normal no puede pedir un certificado de equipo?
> lo tiene que hacer el administrador?
>
> "Guillermo Delprato [MS-MVP]" wrote:
>
>> Cuando te conectas con IPSec y certificado, este último no es del
>> usuario sino del equipo, ya que en este caso hay una doble
>> autenticación: primero las máquinas y luego el usuario
>> De por si, los valores por omisión en el caso planteado, la
>> autenticación del usario se hace por MS-CHAP v2 (XP a W2k3)
>>
>> El que tenga que hacerlo un administrador, es porque tiene que
>> instalar un certificado de *máquina*, lo cual afectará a *todos* los
>> usuarios de ese equipo
>>
>> IPSec puede usar para autenticación de equipos: Kerberos,
>> certificados, o clave compartida
>> Para usar Kerberos, ambas máquinas *deben* estar en el mismo bosque
>> Para usar Certificados, ambas máquinas deben tener una autoridad
>> certificador en común, o por lo menos coincidir en una autoridad
>> certificadora en común en la cadena de certificados. En tu caso no
>> quedaría más que usar una autoridad certificadora comercial, o que
>> la instales de tipo "stand-alone" de forma que puedas otorgar
>> certificados a entes externos El uso de clave compartida, es lo más
>> sencillo, pero su seguridad no se compara, es mucho menor
>>
>> Saludos
>>
>> Guillermo Delprato
>> MVP-MCT-MCSE-MCSA-MCP
>> Buenos Aires, Argentina
>>
>> NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
>> beneficiamos todos.
>>
>> http://support.microsoft.com/kb/555375/en-us
>>
>> Este mensaje se proporciona "como está" sin garantías de ninguna
>> clase,
>> y no otorga ningún derecho. Ud. asume los riesgos This posting is
>> provided "AS IS" with no warranties, and confers no rights. You
>> assume
>> all risk for your use.
>>
>>
>>
>>
>> Javi wrote:
>>> Buenas, estoy probando los certificados en casa, y tengo un par de
>>> problemas.
>>>
>>> Estoy con el W2003 con una Enterprise CA y todo correcto, en el
>>> segundo ordenador tengo otro W2003 y todo perfecto.
>>> La cosa está en que estoy haciendo VPN con los 2. Por PPTP me
>>> funciona perfectamente, entonces estoy probando los certificados
>>> con Ipsec.
>>>
>>> La cosa esta en que necesito el certificado Ipsec y certificado de
>>> máquina, con que esta el SERVER02 conectado al dominio, si entro
>>> como Administrador pues puedo pedir el certificado Ipsec y de
>>> equipo sin ningún problema, hago la prueba del VPN y funciona
>>> correcto con Ipsec. Si entro con una cuenta de usuario normal, a la
>>> hora de pedir certificado solo me da de USER y EFS. Cuando lo
>>> pruebo me va bien, porque el certificado de equipo es el mismo que
>>> he utilizado antes.
>>>
>>> Lo que querría saber en para un usuario normal que privilegios tiene
>>> que tener para que me salga la opción de pedir un certificado Ipsec
>>> y de máquina, ya que me he leido los libros que he podido pero
>>> ninguno me lo aclara.
>>>
>>> Para el segundo punto, es para que un usuario que no es del dominio
>>> (por ejemplo me quiero conectar con mi ordenador de casa al de la
>>> empresa), como puedo crear una cuenta de equipo para despues
>>> exportar e importar en mi equipo sin que tenga problema, ya que he
>>> importado el Ipsec y va bien, pero me falta el certificado de
>>> equipo.
>>>
>>> Gracias de antemano.

Entonces una cosa, si yo desde mi casa (que no pertenezco al dominio ni
nada)quiero hacer VPN con certificados, el problema está en que no puedo
pedir certificado ni nada, ¿hay alguna forma de pedir un certificado de
equipo e Ipsec y llevarmelo a casa?. Se que se puede pedir, por ejemplo me
hago uno de cada con la cuenta administrador. Pero el problema será en que
no
se si ese certificado funcionará en mi equipo de casa, es que lo he
probado
pero no me lo acepta, no se si hará algo mas o no se puede hacer.
El VPN Ipsec con contraseña compartida si que va, pero no hay seguridad.

"Guillermo Delprato [MS-MVP]" wrote:

Exacto. Habría que investigar a ver si se pudiera delegar este
privilegio,
pero lo veo difícil

Saludos

Guillermo Delprato
MVP-MCT-MCSE-MCSA-MCP
Buenos Aires, Argentina

NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
beneficiamos todos.

http://support.microsoft.com/kb/555375/en-us

Este mensaje se proporciona "como está" sin garantías de ninguna clase,
y no otorga ningún derecho. Ud. asume los riesgos This posting is
provided "AS IS" with no warranties, and confers no rights. You assume
all risk for your use.




Javi wrote:
> Entonces un usuario normal no puede pedir un certificado de equipo?
> lo tiene que hacer el administrador?
>
> "Guillermo Delprato [MS-MVP]" wrote:
>
>> Cuando te conectas con IPSec y certificado, este último no es del
>> usuario sino del equipo, ya que en este caso hay una doble
>> autenticación: primero las máquinas y luego el usuario
>> De por si, los valores por omisión en el caso planteado, la
>> autenticación del usario se hace por MS-CHAP v2 (XP a W2k3)
>>
>> El que tenga que hacerlo un administrador, es porque tiene que
>> instalar un certificado de *máquina*, lo cual afectará a *todos* los
>> usuarios de ese equipo
>>
>> IPSec puede usar para autenticación de equipos: Kerberos,
>> certificados, o clave compartida
>> Para usar Kerberos, ambas máquinas *deben* estar en el mismo bosque
>> Para usar Certificados, ambas máquinas deben tener una autoridad
>> certificador en común, o por lo menos coincidir en una autoridad
>> certificadora en común en la cadena de certificados. En tu caso no
>> quedaría más que usar una autoridad certificadora comercial, o que
>> la instales de tipo "stand-alone" de forma que puedas otorgar
>> certificados a entes externos El uso de clave compartida, es lo más
>> sencillo, pero su seguridad no se compara, es mucho menor
>>
>> Saludos
>>
>> Guillermo Delprato
>> MVP-MCT-MCSE-MCSA-MCP
>> Buenos Aires, Argentina
>>
>> NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
>> beneficiamos todos.
>>
>> http://support.microsoft.com/kb/555375/en-us
>>
>> Este mensaje se proporciona "como está" sin garantías de ninguna
>> clase,
>> y no otorga ningún derecho. Ud. asume los riesgos This posting is
>> provided "AS IS" with no warranties, and confers no rights. You
>> assume
>> all risk for your use.
>>
>>
>>
>>
>> Javi wrote:
>>> Buenas, estoy probando los certificados en casa, y tengo un par de
>>> problemas.
>>>
>>> Estoy con el W2003 con una Enterprise CA y todo correcto, en el
>>> segundo ordenador tengo otro W2003 y todo perfecto.
>>> La cosa está en que estoy haciendo VPN con los 2. Por PPTP me
>>> funciona perfectamente, entonces estoy probando los certificados
>>> con Ipsec.
>>>
>>> La cosa esta en que necesito el certificado Ipsec y certificado de
>>> máquina, con que esta el SERVER02 conectado al dominio, si entro
>>> como Administrador pues puedo pedir el certificado Ipsec y de
>>> equipo sin ningún problema, hago la prueba del VPN y funciona
>>> correcto con Ipsec. Si entro con una cuenta de usuario normal, a la
>>> hora de pedir certificado solo me da de USER y EFS. Cuando lo
>>> pruebo me va bien, porque el certificado de equipo es el mismo que
>>> he utilizado antes.
>>>
>>> Lo que querría saber en para un usuario normal que privilegios tiene
>>> que tener para que me salga la opción de pedir un certificado Ipsec
>>> y de máquina, ya que me he leido los libros que he podido pero
>>> ninguno me lo aclara.
>>>
>>> Para el segundo punto, es para que un usuario que no es del dominio
>>> (por ejemplo me quiero conectar con mi ordenador de casa al de la
>>> empresa), como puedo crear una cuenta de equipo para despues
>>> exportar e importar en mi equipo sin que tenga problema, ya que he
>>> importado el Ipsec y va bien, pero me falta el certificado de
>>> equipo.
>>>
>>> Gracias de antemano.

Entonces una cosa, si yo desde mi casa (que no pertenezco al dominio
ni nada)quiero hacer VPN con certificados, el problema está en que no
puedo pedir certificado ni nada, ¿hay alguna forma de pedir un
certificado de equipo e Ipsec y llevarmelo a casa?. Se que se puede
pedir, por ejemplo me hago uno de cada con la cuenta administrador.
Pero el problema será en que no se si ese certificado funcionará en
mi equipo de casa, es que lo he probado pero no me lo acepta, no se
si hará algo mas o no se puede hacer.
El VPN Ipsec con contraseña compartida si que va, pero no hay
seguridad.

"Guillermo Delprato [MS-MVP]" wrote:

Exacto. Habría que investigar a ver si se pudiera delegar este
privilegio, pero lo veo difícil

Saludos

Guillermo Delprato
MVP-MCT-MCSE-MCSA-MCP
Buenos Aires, Argentina

NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
beneficiamos todos.

http://support.microsoft.com/kb/555375/en-us

Este mensaje se proporciona "como está" sin garantías de ninguna
clase,
y no otorga ningún derecho. Ud. asume los riesgos This posting is
provided "AS IS" with no warranties, and confers no rights. You
assume all risk for your use.




Javi wrote:

Entonces un usuario normal no puede pedir un certificado de equipo?
lo tiene que hacer el administrador?

"Guillermo Delprato [MS-MVP]" wrote:

Cuando te conectas con IPSec y certificado, este último no es del
usuario sino del equipo, ya que en este caso hay una doble
autenticación: primero las máquinas y luego el usuario
De por si, los valores por omisión en el caso planteado, la
autenticación del usario se hace por MS-CHAP v2 (XP a W2k3)

El que tenga que hacerlo un administrador, es porque tiene que
instalar un certificado de *máquina*, lo cual afectará a *todos*
los usuarios de ese equipo

IPSec puede usar para autenticación de equipos: Kerberos,
certificados, o clave compartida
Para usar Kerberos, ambas máquinas *deben* estar en el mismo bosque
Para usar Certificados, ambas máquinas deben tener una autoridad
certificador en común, o por lo menos coincidir en una autoridad
certificadora en común en la cadena de certificados. En tu caso no
quedaría más que usar una autoridad certificadora comercial, o que
la instales de tipo "stand-alone" de forma que puedas otorgar
certificados a entes externos El uso de clave compartida, es lo más
sencillo, pero su seguridad no se compara, es mucho menor

Saludos

Guillermo Delprato
MVP-MCT-MCSE-MCSA-MCP
Buenos Aires, Argentina

NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
beneficiamos todos.

http://support.microsoft.com/kb/555375/en-us

Este mensaje se proporciona "como está" sin garantías de ninguna
clase,
y no otorga ningún derecho. Ud. asume los riesgos This posting is
provided "AS IS" with no warranties, and confers no rights. You
assume
all risk for your use.




Javi wrote:

Buenas, estoy probando los certificados en casa, y tengo un par de
problemas.

Estoy con el W2003 con una Enterprise CA y todo correcto, en el
segundo ordenador tengo otro W2003 y todo perfecto.
La cosa está en que estoy haciendo VPN con los 2. Por PPTP me
funciona perfectamente, entonces estoy probando los certificados
con Ipsec.

La cosa esta en que necesito el certificado Ipsec y certificado de
máquina, con que esta el SERVER02 conectado al dominio, si entro
como Administrador pues puedo pedir el certificado Ipsec y de
equipo sin ningún problema, hago la prueba del VPN y funciona
correcto con Ipsec. Si entro con una cuenta de usuario normal, a
la hora de pedir certificado solo me da de USER y EFS. Cuando lo
pruebo me va bien, porque el certificado de equipo es el mismo que
he utilizado antes.

Lo que querría saber en para un usuario normal que privilegios
tiene que tener para que me salga la opción de pedir un
certificado Ipsec y de máquina, ya que me he leido los libros que
he podido pero ninguno me lo aclara.

Para el segundo punto, es para que un usuario que no es del
dominio (por ejemplo me quiero conectar con mi ordenador de casa
al de la empresa), como puedo crear una cuenta de equipo para
despues exportar e importar en mi equipo sin que tenga problema,
ya que he importado el Ipsec y va bien, pero me falta el
certificado de equipo.

Gracias de antemano.

Estas confundiendo terminos. Una cosa es que un simple usuario no puuda
instalar un certificado y otra muy distinta que no pueda solicitar un
certificado a una CA, son cosas totalemte distintas, no tienen nada que
ver

Mira mi post anterior, esta indicado como puedes solicitar un certificado e
instalarlo, pero, logicamente para poder hacer esto debes ser administrador
local de la maquina en la que quieres instalar dicho certificado. Otra
opcion es usar el web enrollment y mas adelante que un administrador instale
el certificado. O directamente solicitar el certificaod con una cuenta
adminsitrativa. COmo el certificado es de maquna, vale para todos los
usuarios
Si el equipo pertenece al dominio ya te comente la posibilidad de usar el
autoenrollment. Ademas, con esto no necesitas que el usuaio sea
adminsitrador local e instalas el certificado de forma automatica y
totalemte desatendida

Un saludo.
Ivan
MS MVP ISA Server

"Javi" escribió en el mensaje
news:
> Entonces una cosa, si yo desde mi casa (que no pertenezco al dominio ni
> nada)quiero hacer VPN con certificados, el problema está en que no puedo
> pedir certificado ni nada, ¿hay alguna forma de pedir un certificado de
> equipo e Ipsec y llevarmelo a casa?. Se que se puede pedir, por ejemplo me
> hago uno de cada con la cuenta administrador. Pero el problema será en que
> no
> se si ese certificado funcionará en mi equipo de casa, es que lo he
> probado
> pero no me lo acepta, no se si hará algo mas o no se puede hacer.
> El VPN Ipsec con contraseña compartida si que va, pero no hay seguridad.
>
> "Guillermo Delprato [MS-MVP]" wrote:
>
>> Exacto. Habría que investigar a ver si se pudiera delegar este
>> privilegio,
>> pero lo veo difícil
>>
>> Saludos
>>
>> Guillermo Delprato
>> MVP-MCT-MCSE-MCSA-MCP
>> Buenos Aires, Argentina
>>
>> NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
>> beneficiamos todos.
>>
>> http://support.microsoft.com/kb/555375/en-us
>>
>> Este mensaje se proporciona "como está" sin garantías de ninguna clase,
>> y no otorga ningún derecho. Ud. asume los riesgos This posting is
>> provided "AS IS" with no warranties, and confers no rights. You assume
>> all risk for your use.
>>
>>
>>
>>
>> Javi wrote:
>> > Entonces un usuario normal no puede pedir un certificado de equipo?
>> > lo tiene que hacer el administrador?
>> >
>> > "Guillermo Delprato [MS-MVP]" wrote:
>> >
>> >> Cuando te conectas con IPSec y certificado, este último no es del
>> >> usuario sino del equipo, ya que en este caso hay una doble
>> >> autenticación: primero las máquinas y luego el usuario
>> >> De por si, los valores por omisión en el caso planteado, la
>> >> autenticación del usario se hace por MS-CHAP v2 (XP a W2k3)
>> >>
>> >> El que tenga que hacerlo un administrador, es porque tiene que
>> >> instalar un certificado de *máquina*, lo cual afectará a *todos* los
>> >> usuarios de ese equipo
>> >>
>> >> IPSec puede usar para autenticación de equipos: Kerberos,
>> >> certificados, o clave compartida
>> >> Para usar Kerberos, ambas máquinas *deben* estar en el mismo bosque
>> >> Para usar Certificados, ambas máquinas deben tener una autoridad
>> >> certificador en común, o por lo menos coincidir en una autoridad
>> >> certificadora en común en la cadena de certificados. En tu caso no
>> >> quedaría más que usar una autoridad certificadora comercial, o que
>> >> la instales de tipo "stand-alone" de forma que puedas otorgar
>> >> certificados a entes externos El uso de clave compartida, es lo más
>> >> sencillo, pero su seguridad no se compara, es mucho menor
>> >>
>> >> Saludos
>> >>
>> >> Guillermo Delprato
>> >> MVP-MCT-MCSE-MCSA-MCP
>> >> Buenos Aires, Argentina
>> >>
>> >> NOTA. Por favor, las preguntas y comentarios en los grupos, así nos
>> >> beneficiamos todos.
>> >>
>> >> http://support.microsoft.com/kb/555375/en-us
>> >>
>> >> Este mensaje se proporciona "como está" sin garantías de ninguna
>> >> clase,
>> >> y no otorga ningún derecho. Ud. asume los riesgos This posting is
>> >> provided "AS IS" with no warranties, and confers no rights. You
>> >> assume
>> >> all risk for your use.
>> >>
>> >>
>> >>
>> >>
>> >> Javi wrote:
>> >>> Buenas, estoy probando los certificados en casa, y tengo un par de
>> >>> problemas.
>> >>>
>> >>> Estoy con el W2003 con una Enterprise CA y todo correcto, en el
>> >>> segundo ordenador tengo otro W2003 y todo perfecto.
>> >>> La cosa está en que estoy haciendo VPN con los 2. Por PPTP me
>> >>> funciona perfectamente, entonces estoy probando los certificados
>> >>> con Ipsec.
>> >>>
>> >>> La cosa esta en que necesito el certificado Ipsec y certificado de
>> >>> máquina, con que esta el SERVER02 conectado al dominio, si entro
>> >>> como Administrador pues puedo pedir el certificado Ipsec y de
>> >>> equipo sin ningún problema, hago la prueba del VPN y funciona
>> >>> correcto con Ipsec. Si entro con una cuenta de usuario normal, a la
>> >>> hora de pedir certificado solo me da de USER y EFS. Cuando lo
>> >>> pruebo me va bien, porque el certificado de equipo es el mismo que
>> >>> he utilizado antes.
>> >>>
>> >>> Lo que querría saber en para un usuario normal que privilegios tiene
>> >>> que tener para que me salga la opción de pedir un certificado Ipsec
>> >>> y de máquina, ya que me he leido los libros que he podido pero
>> >>> ninguno me lo aclara.
>> >>>
>> >>> Para el segundo punto, es para que un usuario que no es del dominio
>> >>> (por ejemplo me quiero conectar con mi ordenador de casa al de la
>> >>> empresa), como puedo crear una cuenta de equipo para despues
>> >>> exportar e importar en mi equipo sin que tenga problema, ya que he
>> >>> importado el Ipsec y va bien, pero me falta el certificado de
>> >>> equipo.
>> >>>
>> >>> Gracias de antemano.
>>
>>
>>