Windows VPN Group24 vs MODP3072: hansı qrupa ehtiyacınız var?
Qrup nömrələri registr qeydləridir, ölçü sıralaması deyil. Adı parametrləri ilə əlaqələndirin, sonra Windows parametrinin hansı qrupları ifadə edə bildiyini yoxlayın.
Group24 və MODP3072 açar mübadiləsi qrupu üçün iki addır və onlar müxtəlif güclərdə eyni qrup deyillər. Group24 2048 bitlik modulu 256 bitlik sadə tərtibli alt qrupla birləşdirir, MODP3072 isə 3072 bitlik 15-ci qrupdur. Digəri göstərildiyi halda birini seçmək tələbi ödəmək əvəzinə onu dəyişir. Nəticəni dörd şey həll edir və heç biri oxşar görünən ada güvənməyi tələb etmir.
Nömrə dərəcə deyil, registr qeydidir
IANA açar mübadiləsi qruplarını qeydiyyata alındıqları sıra ilə nömrələyir, buna görə daha böyük nömrə daha güclü qrup deyil, daha sonrakı registr qeydi deməkdir. 14-cü qrup 2048 bitlik MODP, 15-ci qrup 3072 bitlik MODP, 24-cü qrup isə 2048 bitlik modulu 256 bitlik sadə tərtibli alt qrupla birləşdirir. Identifikatoru ölçü sıralaması kimi oxumaq 24-ü 15-dən böyük hesab etmək səhvinin məhz özünü yaradır. Ad sadəcə etiketdir və danışıqların həqiqətən istifadə etdiyi şey onun arxasındakı parametrlərdir.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elliptik əyrili qruplar öz qarışıqlığını gətirir, çünki əyrinin bit sayı modulu deyil, sahəni təsvir edir. P-384-ü 3072 bitlik sonlu sahə qrupu ilə sanki ədədlər bir şeyi ölçürmüş kimi müqayisə etmək sizə heç nə demir.
Windows sadalamasının ifadə edə bildiyi
IKE registri və Windows müştəri parametri fərqli lüğətlərə malik fərqli interfeyslərdir. Microsoft-un VpnClient cmdlet arayışı DHGroup parametrinin None, Group1, Group2, Group14, ECP256, ECP384 və Group24 qəbul etdiyini sənədləşdirir. Group15 həmin sənədləşdirilmiş çoxluqda görünmür, bu isə o deməkdir ki, parametr sizdən tələb olunan qrupu ifadə edə bilmir. Bu, protokolun hansı qrupları dəstəklədiyinə dair bəyanat deyil, interfeysin məhdudiyyətidir.
Siyahıda olmayan yazılış, tam ədəd və ya kopyalanmış siyasət sətri vermək sadalamanı genişləndirmir. Həqiqətən yerləşdirdiyiniz Windows versiyası üçün arayışa baxın və qrup əlçatan deyilsə, dürüst nəticə fərqli təsdiqlənmiş siyasət və ya fərqli müştəridir.
DHGroup, PfsGroup və sertifikat növünü ayrı saxlayın
DHGroup IKE açar mübadiləsi üçün qrupu seçir, PfsGroup isə sonrakı qorunan trafik assosiasiyaları üçün irəliyə doğru məxfiliyi idarə edir. Onlar ayrı sahələrdir, ona görə birini düzgün qurmaq digəri haqqında heç nə demir. Sertifikatın RSA və ya ECDSA açarı üçüncü xassədir və efemeral mübadiləyə deyil, autentifikasiyaya aiddir. Buna görə bir profil bir qatda düz, digərində səhv ola bilər və uğurlu bağlantı hansının belə olduğunu göstərməyəcək.
Müəyyən sertifikat növünün hər IKEv2 bağlantısında ECP qrupu məcbur etdiyi barədə hesabatlar parametrlərin bir kombinasiyasını təsvir edir. Onlar protokolun qaydasını müəyyən etmir və onları qayda kimi qəbul etmək lokal qəribəliyin siyasətə çevrilmə üsuludur.
Şlüzün danışıq nəticəsində seçdiyi qrupu oxuyun
VpnClient modulu Set-VpnConnectionIPsecConfiguration əmrini yalnız yazma interfeysi kimi təqdim edir və hostda həmin siyasəti geri oxuyan uyğun Get- cmdlet yoxdur. Tətbiq etdiyiniz DHGroup və PfsGroup dəyərlərini qeyd edin, sonra mübadilənin həqiqətən nədən istifadə etdiyini şlüzdən oxuyun. Əmrləri köhnə assosiasiyanı təkrar istifadə edən yenidən qoşulmadan sonra deyil, təzə bağlantıdan sonra işə salın.
swanctl --list-sas
ipsec statusallProfil Group24 bildirərkən şlüz modp2048s256 bildirirsə, bu uyğundur, çünki bunlar iki lüğətdə eyni qrupdur. Şlüz modp3072 bildirərkən profil Group24 deyirsə, bu uyğun deyil və bir son nöqtə sizin güman etdiyinizi tətbiq etmir. Sertifikat sətri ayrı autentifikasiya sualına, PFS sahəsi isə üçüncü suala cavab verir. Uyğunluq qeydi yazmazdan əvvəl hər üçünü müqayisə edin.
Tələb olunan qrupu, danışıq nəticəsində seçilən qrupu və parametri qəbul edən və ya rədd edən interfeysi qeyd edin. Rəyçiyə lazım olan bu üçlükdür və heç biri siyasətin adından çıxarıla bilməz.