# Генерация сертификата VPN IKEv2 PKI на Microsoft Server
# Симптомы

# Решение

Для подключения IKEv2 с сертификатами нужно выполнить следующие шаги, скриншоты прикреплены в файле:

1.  Импортировать на сервер (NGFW) и клиент VPN корневой сертификат, в данном случае сертификат AD центра сертификации.
2.  Создать на NGFW CSR запрос, в котором указать основные данные (организация, город и т.п.) и указать CN и SAN, которые будут использоваться клиентами для подключения к NGFW по IKEv2 (скриншот 1-3, [шаг 1](https://sd.usergate.com/attachments/k/8/k8OKerI5yxaXbrfB_a/1_csr.png), [шаг 2](https://sd.usergate.com/attachments/-/o/-oKEC0tgNdd6GW8P_a/2_csr.png), [шаг 3](https://sd.usergate.com/attachments/8/d/8dXFok0dZu8k8eBB_a/3_csr.png)).
3.  На AD в центре сертификации создать сертификат на основе CSR файла из пункта 2. В качестве шаблона указать Веб-сервер (Проверка подлинности сервера, keyUsage - serverAuth, скриншот 4, [шаг 4](https://sd.usergate.com/attachments/t/i/tiEsBNgFh1jUNvT__a/4_cert.png)).
4.  Полученный сертификат сервера импортировать в запрос CSR на NGFW (скриншот 5-7, [шаг 5](https://sd.usergate.com/attachments/d/X/dXgGdc2nWDaZjl5x_a/5_cert.png) [шаг 6](https://sd.usergate.com/attachments/B/o/Boc0z2WTizJAUSCq_a/6_cert.png) [шаг 7](https://sd.usergate.com/attachments/O/3/O3Bu6glK1cDKw5AM_a/7_cert.png)).
5.  Через политики регистрации сертификатов компьютера создать запрос на создание сертификата для пользователя (шаблон Пользователь, Проверка подлинности клиента, keyUsage - clientAuth, скриншот 8-9, [шаг 8](https://sd.usergate.com/attachments/Z/J/ZJk4C2vTQeTz5SVz_a/8_domain_csr.png) [шаг 9](https://sd.usergate.com/attachments/P/3/P3OOC24LfADqwv8K_a/9_domain_csr.png)).
6.  Полученный сертификат пользователя импортировать в личные сертификаты пользователя/компьютера.

В профиле клиентских сертификатов на NGFW указать корневой сертификат центра сертификации из шага 1. В профиле безопасности VPN указать сертификат сервера из шага 4.

# Причина