Windows VPN Group24 مقابل MODP3072: أي مجموعة تحتاج؟
أرقام المجموعات هي مدخلات في السجل، وليست ترتيبًا حسب الحجم. اربط الاسم بمعاملاته، ثم تحقق من المجموعات التي يمكن لمعامل Windows التعبير عنها.
Group24 وMODP3072 كلاهما اسمان لمجموعة تبادل مفاتيح، وهما ليسا المجموعة نفسها بقوتين مختلفتين. يجمع Group24 بين معامل بطول 2048-بت وزمرة فرعية من رتبة أولية بطول 256-بت، بينما MODP3072 هو المجموعة 15 ذات 3072-بت. واختيار أحدهما عندما حُدد الآخر يغيّر المتطلب بدلًا من تلبيته. أربعة أمور تحدد النتيجة، ولا يتطلب أي منها الثقة باسم يبدو مشابهًا.
الرقم مدخل في السجل، وليس ترتيبًا
تُرقّم IANA مجموعات تبادل المفاتيح بترتيب تسجيلها، لذا يعني الرقم الأكبر مدخلًا أحدث في السجل وليس مجموعة أقوى. المجموعة 14 هي MODP بطول 2048-بت، والمجموعة 15 هي MODP بطول 3072-بت، والمجموعة 24 تجمع بين معامل بطول 2048-بت وزمرة فرعية من رتبة أولية بطول 256-بت. وقراءة المعرّف كترتيب حسب الحجم تنتج بالضبط الخطأ المتمثل في اعتبار 24 نسخة أكبر من 15. الاسم مجرد لافتة، والمعاملات الكامنة وراءه هي ما يستخدمه التفاوض فعليًا.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
تضيف مجموعات المنحنيات الإهليلجية ارتباكًا خاصًا بها، لأن عدد بتات المنحنى يصف حقلًا وليس معاملًا. ومقارنة P-384 بمجموعة حقل منته بطول 3072-بت وكأن الأرقام تقيس شيئًا واحدًا لا تخبرك بشيء.
ما يمكن لتعداد Windows التعبير عنه
سجل IKE ومعامل عميل Windows واجهتان مختلفتان بمفردات مختلفة. توثّق مرجع أوامر VpnClient من Microsoft أن DHGroup يقبل None وGroup1 وGroup2 وGroup14 وECP256 وECP384 وGroup24. لا يظهر Group15 في تلك المجموعة الموثقة، ما يعني أن المعامل لا يستطيع التعبير عن المجموعة التي طُلب منك استخدامها. وهذا قيد في الواجهة وليس بيانًا عن المجموعات التي يدعمها البروتوكول.
إن تقديم تهجئة غير مدرجة أو عدد صحيح أو سلسلة سياسة منسوخة لا يوسّع التعداد. راجع المرجع الخاص بإصدار Windows الذي تنشره فعليًا، وإذا كانت المجموعة غير متاحة، فالنتيجة الصادقة هي سياسة معتمدة مختلفة أو عميل مختلف.
افصل بين DHGroup وPfsGroup ونوع الشهادة
يختار DHGroup المجموعة لتبادل مفاتيح IKE، ويحكم PfsGroup السرية الأمامية لارتباطات حركة المرور المحمية التي تليها. وهما حقلان منفصلان، لذا فإن ضبط أحدهما بشكل صحيح لا يقول شيئًا عن الآخر. مفتاح RSA أو ECDSA في الشهادة خاصية ثالثة، تنتمي إلى المصادقة وليس إلى التبادل المؤقت. لذلك يمكن أن يكون ملف تعريف واحد صحيحًا في طبقة وخاطئًا في أخرى، ولن يكشف اتصال ناجح أيّهما.
التقارير التي تفيد بأن نوع شهادة معين فرض مجموعة ECP على كل اتصال IKEv2 تصف تركيبة واحدة من الإعدادات. وهي لا تثبت قاعدة من قواعد البروتوكول، والتعامل معها كقاعدة هو كيف يتحول شذوذ محلي إلى سياسة.
اقرأ المجموعة التي تفاوض عليها البوابة
تقدم وحدة VpnClient Set-VpnConnectionIPsecConfiguration كواجهة كتابة فقط، ولا يوجد Get- cmdlet مطابق يقرأ تلك السياسة مرة أخرى على المضيف. سجّل قيم DHGroup وقيم PfsGroup التي طبقتها، ثم اقرأ من البوابة ما استخدمه التبادل فعليًا. شغّل الأوامر بعد اتصال جديد وليس بعد إعادة اتصال أعادت استخدام ارتباط قديم.
swanctl --list-sas
ipsec statusallملف تعريف يعلن Group24 بينما تعلن البوابة modp2048s256 يكون متسقًا، لأن هذين اسمان للمجموعة نفسها بمفردتين. أما بوابة تعلن modp3072 بينما يقول الملف Group24 فليست متسقة، وأحد الطرفين لا يفرض ما تعتقده. سطر الشهادة يجيب عن سؤال المصادقة المنفصل، وحقل PFS يجيب عن الثالث. قارن الثلاثة قبل كتابة ملاحظة امتثال.
سجّل المجموعة المطلوبة والمجموعة المتفاوض عليها والواجهة التي قبلت الإعداد أو رفضته. هذه الثلاثية هي ما يحتاجه المراجع، ولا يمكن استنتاج أي منها من اسم السياسة.