Anmeldung per Zertifikat einrichten

Ein Zertifikat ist ein eigener, von Ihrem Kontopasswort unabhängiger Zugangsnachweis. Wenn Sie künftig einem einzelnen Gerät den Zugriff entziehen möchten, ohne Ihr Kontopasswort überall zu ändern, macht ein Zertifikat das möglich. Außerdem lässt es sich nicht erraten oder per Brute Force knacken wie ein schwaches Passwort.

Die Zertifikatsdatei ist selbst durch ein Passwort geschützt, damit sie nicht nutzbar ist, falls jemand anderes sie in die Hände bekommt. Dieses Passwort wird nur für diesen Download zufällig erzeugt und Ihnen einmal angezeigt. Es ist bewusst nicht Ihr Kontopasswort, damit beide unabhängig bleiben.

Das bedeutet fast immer, dass die Dateien per Doppelklick statt über PowerShell importiert wurden. Ein Doppelklick importiert Zertifikate in den Speicher „Aktueller Benutzer“, die VPN-Verbindung von Windows braucht sie aber im Speicher „Lokaler Computer“. Führen Sie die beiden Import-Befehle aus Schritt 3 oben erneut in PowerShell (als Administrator) aus, um das zu beheben.

Dieses VPN tunnelt derzeit nur IPv4-Datenverkehr. Wenn Ihre Internetverbindung auch IPv6 bietet, können Websites, die über IPv6 prüfen, den Tunnel umgehen. Bis IPv6-Tunneling unterstützt wird, deaktivieren Sie IPv6 an Ihrem Netzwerkadapter: Führen Sie Get-NetAdapter | Disable-NetAdapterBinding -ComponentID ms_tcpip6 in PowerShell als Administrator aus.

Zertifikate werden aus Sicherheitsgründen mit begrenzter Laufzeit ausgestellt. Ist Ihres abgelaufen, laden Sie auf der Dashboard-Seite Ihres VPN einfach ein neues herunter. Das dauert eine Minute und erfordert keine Hilfe vom Support.

Das bedeutet, dass im VPN-Profil das „IPSec-CA-Zertifikat“ auf das PrivyNet-CA-Zertifikat gesetzt ist. Dieses Feld dient der Prüfung des eigenen Zertifikats des VPN-Servers, nicht der Client-CA. Es sollte auf „(nicht überprüfen)“ stehen, das IPSec-Serverzertifikat auf „(vom Server erhalten)“. Wählen Sie dort unsere Client-CA, lehnt Android das Serverzertifikat ab, kurz bevor die Verbindung scheinbar zustande kommt. Wenn Sie die Einstellungen eines bestehenden Profils mehrfach hin und her geändert haben, löschen Sie es danach und legen Sie ein neues an. Bearbeitete Profile können sich unbeständig verhalten, selbst wenn die Einstellungen korrekt aussehen.

Das heißt nur, dass das Profil nicht von einer kommerziellen Zertifizierungsstelle signiert ist. Das ist bei einem selbst betriebenen VPN normal und beeinträchtigt die Funktion nicht. Sie können es trotzdem ganz normal installieren und sich verbinden.

Noch nicht. Die Anmeldung per Zertifikat ist derzeit unter Windows, Android und iOS verifiziert. Nutzen Sie auf anderen Plattformen vorerst die Anmeldung per Passwort (siehe die Hauptanleitung zur VPN-Konfiguration).