Windows VPN Group24 vs MODP3072: watter groep het u nodig?
Groepnommers is registerinskrywings, nie 'n rangorde volgens grootte nie. Karteer die naam na sy parameters en kyk dan watter groepe die Windows-parameter kan uitdruk.
Group24 en MODP3072 is albei name vir 'n sleuteluitruilgroep, en hulle is nie dieselfde groep teen verskillende sterktes nie. Group24 kombineer 'n modulus van 2048 bis met 'n priemorde-subgroep van 256 bis, terwyl MODP3072 die 3072-bis groep 15 is. Om een te kies wanneer die ander gespesifiseer is, verander die vereiste in plaas van om dit na te kom. Vier dinge bepaal die uitkoms, en nie een van hulle vereis dat jy 'n naam vertrou wat soortgelyk lyk nie.
Die nommer is 'n registerinskrywing, nie 'n rang nie
IANA nommer sleuteluitruilgroepe in die volgorde waarin hulle geregistreer is, so 'n groter nommer beteken 'n later registerinskrywing eerder as 'n sterker groep. Groep 14 is 2048-bis MODP, groep 15 is 3072-bis MODP, en groep 24 kombineer 'n modulus van 2048 bis met 'n priemorde-subgroep van 256 bis. Om die identifiseerder as 'n grootte-rangorde te lees, produseer presies die fout om 24 as 'n groter 15 te beskou. Die naam is 'n etiket, en die parameters agter dit is wat die onderhandeling werklik gebruik.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elliptiese-krommegroepe voeg hul eie verwarring by, want 'n kromme se bittelling beskryf 'n veld eerder as 'n modulus. Om P-384 teen 'n 3072-bis eindige-veldgroep te vergelyk asof die getalle een ding meet, sê vir jou niks.
Wat die Windows-opsomming kan uitdruk
Die IKE-register en die Windows-kliëntparameter is verskillende koppelvlakke met verskillende woordeskatte. Microsoft se VpnClient-opdragverwysing dokumenteer DHGroup as aanvaarding van None, Group1, Group2, Group14, ECP256, ECP384 en Group24. Group15 verskyn nie in daardie gedokumenteerde stel nie, wat beteken die parameter kan nie die groep uitdruk wat van jou gevra is nie. Dit is 'n beperking van die koppelvlak eerder as 'n stelling oor watter groepe die protokol ondersteun.
Om 'n ongelyste spelling, 'n heelgetal of 'n gekopieerde beleidsstring te verskaf, brei nie die opsomming uit nie. Kyk na die verwysing vir die Windows-weergawe wat jy werklik ontplooi, en as die groep onbeskikbaar is, is die eerlike uitkoms 'n ander goedgekeurde beleid of 'n ander kliënt.
Hou DHGroup, PfsGroup en sertifikaattipe apart
DHGroup kies die groep vir die IKE-sleuteluitruiling, en PfsGroup beheer voorwaartse geheimhouding vir die beskermde-verkeer-assosiasies wat volg. Dit is aparte velde, so om een korrek te stel sê niks oor die ander nie. Die sertifikaat se RSA- of ECDSA-sleutel is 'n derde eienskap, wat aan verifikasie behoort eerder as aan die efemere uitruiling. 'n Enkele profiel kan dus in een laag reg en in 'n ander verkeerd wees, en 'n suksesvolle verbinding sal nie onthul watter nie.
Verslae dat 'n bepaalde sertifikaattipe 'n ECP-groep op elke IKEv2-verbinding afgedwing het, beskryf een kombinasie van instellings. Hulle vestig nie 'n reël van die protokol nie, en om hulle as een te behandel is hoe 'n plaaslike eienaardigheid 'n beleid word.
Lees die groep wat die poort onderhandel het
Die VpnClient-module bied Set-VpnConnectionIPsecConfiguration as 'n skryf-alleen-koppelvlak, en geen ooreenstemmende Get--opdrag lees daardie beleid op die gasheer terug nie. Teken die DHGroup- en PfsGroup-waardes aan wat jy toegepas het, en lees dan by die poort wat die uitruiling werklik gebruik het. Voer die opdragte uit ná 'n nuwe verbinding eerder as ná 'n herverbinding wat 'n ou assosiasie hergebruik het.
swanctl --list-sas
ipsec statusall'n Profiel wat Group24 rapporteer terwyl die poort modp2048s256 rapporteer, is konsekwent, want dit is dieselfde groep onder twee woordeskatte. 'n Poort wat modp3072 rapporteer terwyl die profiel Group24 sê, is nie konsekwent nie, en een eindpunt handhaaf nie wat jy glo nie. Die sertifikaatlyn beantwoord die aparte verifikasievraag, en die PFS-veld beantwoord die derde. Vergelyk al drie voordat jy 'n nakomingsnota skryf.
Teken die versoekte groep, die onderhandelde groep en die koppelvlak wat die instelling aanvaar of verwerp het, aan. Daardie drietal is wat 'n beoordelaar nodig het, en niks daarvan kan uit die beleidsnaam afgelei word nie.