VPN: Debian <> Win2003 (IPSec)

[Havoc][]

Hi Leute.

Ich habe vor längerer Zeit auch schonmal eine Frage zu VPN und IPSec gehabt. Leider haben mich die Antworten hier nicht besonders weit gebracht.

Also, ich möchte gerne ein VPN mit einem Freund aufbauen. Wir beide haben eine DSL Flatrate.
-> Mein Freund: Windows 2003 Server
-> ich: Woody Debian Router
Diese beiden Rechner sollen miteinander verbunden werden. Da allerdings beide eine T-Online Flatrate haben, können wir nur unsere DynDNS Einträge benutzten (also keine Static IP's).

Jetzt habe ich bei mir schon FreeS/WAN mit X.509 Patch installiert und folgendes ausgeführt:

$ /usr/lib/ssl/misc/CA.sh -newca (um eine neue CA zu erstellen)

dann:

$ /usr/lib/ssl/misc/CA.sh -newreq (um ein neues Zertifikat für den lokalen zugriff zu erstellen)
$ /usr/lib/ssl/misc/CA.sh -sign (um das gerade erstelle Zertifikat zu unterschreiben)

$ mv newcert.pem meine.dyndns.org.pem
$ mv newreq.pem meine.dyndns.org.key

$ cp meine.dyndns.org.pem /etc/ipsec.d
$ cp meine.dyndns.org.key /etc/ipsec.d/private
$ cp demoCA/cacert.pem /etc/ipsec.d/cacerts
$ openssl ca -gencrl -out /etc/ipsec.d/crls/crl.pem

Als nächstes hab ich dann ein Zertifikat für meinen Freund erstellt:
$ /usr/lib/ssl/misc/CA.sh -newreq (um ein neues Zertifikat für meinen Freund zu erstellen)
$ /usr/lib/ssl/misc/CA.sh -sign (um das gerade erstelle Zertifikat zu unterschreiben)

und mit:
$ openssl pkcs12 -export -in freund.dyndns.org.pem -inkey freund.dyndns.org.key -certfile demoCA/cacert.pem -out freund.dyndns.org.p12

in das windows format gepackt.

Nun stellt sich aber die frage was ich als nächstes machen muss.
Was brauche ich für den Windows Rechner?
Welche Dateien muss ich ihm nun geben?
Wie stelle ich am besten die beiden ipsec.conf files ein?
Mein Rechner reconnected sich per Cronjob immer um eine bestimmte zeit, wärend der Rechner von meinem Freund dann reconnected, wenn er vom Internet getrennt wird. Welcher sollte am besten die verbindung initieren?
Ist das immernoch eine net-to-net connection?
Was muss ich sonst noch ändern?

Sind das nur folge Fehler?:

saphira:~# ipsec verify
Checking your system to see if IPsec got installed and started correctly:
Version check and ipsec on-path [OK]
Linux FreeS/WAN 2.02
Checking for KLIPS support in kernel [OK]
Checking for RSA private key (/ipsec.secrets) [FAILED]
ipsec showhostkey: must specify a format for the result
Checking that pluto is running [FAILED]
whack: Pluto is not running (no "/var/run/pluto.ctl")
Two or more interfaces found, checking IP forwarding [FAILED]
whack: Pluto is not running (no "/var/run/pluto.ctl")
Checking NAT and MASQUERADEing

Opportunistic Encryption DNS checks:
Looking for TXT in forward map: saphira [MISSING]
Does the machine have at least one non-private address? [FAILED]
saphira:~#

Ich habe mir schon viele HowTos durchgelesen. Allerdings nur Linux <> Linux oder Net-to-RoadWarrior.
Ich wäre euch wirklich sehr dankbar wenn mir einer weiterhelfen würde.

Ciao Havoc][