Как реализовать L2TP/IPsec (RSA) на Cisco?

Question

[MaxxxZ]

при развёртывании L2TP over IPsec на Cisco необходимо указывать pre-shared key для клиента.

Можно избежать этого, предъявив клиенту сертификат, например, от GeoTrust, а сервер научить соглашаться с любыми сертификатами клиента?

Answer 1

[chupasaurus]

необходимо указывать pre-shared key для клиента

Тип аутентификации по умолчанию при создании ISAKMP policy - по сертификатам (authentication rsig|rsa-sig). How-to в интернете - тысячи.
P.S. Предъявить ≠ выдать.

Comments

[MaxxxZ]

How-to много для IPSec site-to-site. Но там другой случай - там сертификаты обоих сторон прописаны жёстко и регулируются админом.
Я же говорю про L2TP/IPSec для достаточно широкого круга удалённых клиетов.
Поэтому пусть их ОС проверит валидность сервера по предъявляемому сертификату на доменное имя. Но вот как заставить Cisco принимать любой сертификат от клиента? Аутентичность клиента будет проверена на уровне L2TP по учётной записи. Дополнительные меры безопасности на уровне тоннеля излишни.