Zertifikate im Lokalen Netzwerk?

[Sirius11196]

Hallo,
Erst einmal großes lob. Ich hatte schon öfter Probleme und war in einigen Foren unterwegs.
Und ihr seit mit Abstand einer kompetentesten und hilfsbereitesten Communitys die ich getroffen habe!.

Und entschuldigung falls ich hier falsch sein sollte. Ich hab jetzt schon gegoogelt und ein wenig heraus gelsen. Aber steh noch etwas am Schlauch.
Ich betreibe daheim ein Windows Server 2016. Als Domaincontroller, radius, DNS, Dhcp, Print, Wus und Vpn. (Ja haben einige Benutzer und Endgeräte dran hängen, ist sehr praktisch und mitlerweilen ein hobby von mir) .

Ich wollte mal fragen, wenn sich Geräte bei mir am Server Anmelden nörgeln die natürlich wegen dem selbsterstellen Zertifikat. Ich weiß auch das man von bestimmten stellen sich Zertifikate austellen lassen kann. Aber wie mache ich das bzw. Wie verwende ich diese dann im lokalen Netzwerk.

Wär genauso für Beiträge bzw Material zum einlesen dankbar.

Sonst funktioniert auch alles perfekt, ich möchte nur das genörgel von den Clients verhindern. bzw Sie zufrieden stellen.

Und bitte keine Antworten wie: Lass es bleiben wenn du dich nicht auskennst, deswegen frag ich ja und lern mich hinein und beschäftige mich mit Netzwerktechnik .

Danke schonmal für Antworten

 

[DocWindows]

Wenn es sich um ein lokales Netzwerk mit Domänencontroller handelt, kannst du die Rolle "Zertifizierungsstelle" im Windows Server aktivieren und dir selbst Zertifikate ausstellen. Das Root-Zertifikat der Zertifizierungsstelle muss dann natürlich an die Clients verteilt werden.
Normalerweise läuft das automatisch im Hintergrund ab, sofern die Clientrechner Domänenmitglieder sind.
Sind sie es nicht, kann man das Rootzertifikat auch manuell in den Speicher für vertrauenswürdige Stammzertifizierungsstellen importieren.

 

[Sirius11196]

Es ist ein Lokales Netzwerk zuerzeit, die Domain wäre aber auch schon online registriet da ich in geraumer Zeit gern wie oben beschrieben per VPN und anderen Dienste von Auserhalb zugreifen möchte. Die zertifzierungsstelle ist installiert und eingerichtet. Es mekern vorallem die ios und android geräte.

Deswegen würde ich gern ein zertifikat von einer offizellen stelle einrichten. Bin aber damit überfragt :/

 

[Raijin]

Da fiele mir zum Beispiel Let's encrypt ein. Da kannst du dir ein offizielles Zertifikat ausstellen lassen, das du auch im www nutzen kannst.

 

[snaxilian]

@Raijin: LE ist ne tolle Sache, hilft aber idR nicht bei internen Umgebungen. Entweder müsste der TE also für seine Domäne eine öffentliche Domain nutzen und dann entsprechend ein Split DNS konfigurieren oder sich eben eine eigene interne CA aufbauen. Bei AD-verwalteten Geräten und der Rolle Zertifizierungsstelle ist das ein recht gangbarer Weg.

@TE: Dann musst du eben den iOS und Android Geräten deine CA bekannt machen, bzw diese zu den vertrauenswürdigen CAs hinzufügen.

 

[Sirius11196]

@TE: Dann musst du eben den iOS und Android Geräten deine CA bekannt machen, bzw diese zu den vertrauenswürdigen CAs hinzufügen.[/QUOTE]

Dieser Lösung war ich mir durch aus bewusst, aber ich möchte nicht auf jeden neuen geräte ersteinmal Zertifikate installieren müssen :/. Würde es eig vorziehen wenn jedes Gerät dies bei erstmaliger Anmeldung anerkennen würde.

 

[snaxilian]

In dem Fall bleibt dir wirklich nur so etwas wie Let's Encrypt und Split DNS übrig. Voraussetzung ist natürlich, dass du eine öffentlich nutzbare Domain hast. Dann muss entweder jeder Host, der ein Zertifikat benötigt bzw. nutzen soll, auch Richtung Internet kommunizieren können oder du brauchst mindestens einen Host Richtung Internet, der die Zertifikate erstellt/abholt und diese dann per Skripting inkl. private key auf die Zielhosts verschiebt oder kopiert.
Die faulste Lösung wäre aber z.B. auch eins der neuen Wildcard Zertifikate von Lets Encrypt, dann musst nur ein Zertifikat erneuern und das per Copy & Paste verteilen. Absolut nicht elegant und best practice aber die quick'n'dirty Lösung

 

[Raijin]

Anhand Beitrag #3 habe ich das so verstanden, dass eine Domain bereits vorhanden ist und das Zertifikat auch da genutzt werden soll. Ich denke Let's Encrypt wäre da eben genau das richtig. Oder gibt es evtl. noch weitere kostenlose Zertifizierungsstellen? Hab mich mit sowas noch nicht wirklich beschäftigt.