Windows VPN Group24 супраць MODP3072: якая група вам патрэбна?
Нумары груп — гэта запісы ў рэестры, а не ранжыраванне па памеры. Супастаўце назву з яе параметрамі, затым праверце, якія групы можа выказаць параметр Windows.
Group24 і MODP3072 — абедзве назвы групы абмену ключамі, і гэта не адна і тая ж група рознай трываласці. Group24 спалучае 2048-бітны модуль з падгрупай простага парадку на 256 біт, а MODP3072 — гэта 3072-бітная група 15. Калі выбраць адну, калі была ўказана другая, гэта змяняе патрабаванне замест таго, каб яго выканаць. Вынік вызначаюць чатыры рэчы, і ні адна з іх не патрабуе давяраць падобнай на выгляд назве.
Нумар — гэта запіс у рэестры, а не ранг
IANA нумаруе групы абмену ключамі ў парадку іх рэгістрацыі, таму большы нумар азначае пазнейшы запіс у рэестры, а не больш трывалую групу. Група 14 — гэта 2048-бітны MODP, група 15 — 3072-бітны MODP, а група 24 спалучае 2048-бітны модуль з падгрупай простага парадку на 256 біт. Чытанне ідэнтыфікатара як ранжыравання па памеры дае менавіта тую памылку, калі 24 лічаць большай за 15. Назва — гэта этыкетка, а параметры за ёй — тое, што фактычна выкарыстоўвае перагавор.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Групы на эліптычных крывых дадаюць сваю блытаніну, бо колькасць бітаў крывой апісвае поле, а не модуль. Параўнанне P-384 з 3072-бітнай групай канечнага поля так, нібыта лікі вымяраюць адно і тое ж, не дае вам нічога.
Што можа выказаць пералік Windows
Рэестр IKE і параметр кліента Windows — гэта розныя інтэрфейсы з рознымі слоўнікамі. Даведка па камандлеце VpnClient ад Microsoft дакументуе, што DHGroup прымае None, Group1, Group2, Group14, ECP256, ECP384 і Group24. Group15 не з'яўляецца ў гэтым дакументаваным наборы, што азначае, што параметр не можа выказаць патрэбную вам групу. Гэта абмежаванне інтэрфейса, а не сцвярджэнне пра тое, якія групы падтрымлівае пратакол.
Падача непазначанага напісання, цэлага ліку або скапіяванага радка палітыкі не пашырае пералік. Праверце даведку для той версіі Windows, якую вы фактычна разгортваеце, і калі група недаступная, сумленны вынік — іншая зацверджаная палітыка або іншы кліент.
Трымайце DHGroup, PfsGroup і тып сертыфіката асобна
DHGroup выбірае групу для абмену ключамі IKE, а PfsGroup кіруе прамой сакрэтнасцю для асацыяцый абароненага трафіку, якія ідуць далей. Гэта асобныя палі, таму правільнае заданне аднаго нічога не кажа пра другое. Ключ RSA або ECDSA сертыфіката — трэцяя ўласцівасць, якая адносіцца да аўтэнтыфікацыі, а не да эфемернага абмену. Таму адзін профіль можа быць правільным у адным пласце і няправільным у другім, і паспяховае злучэнне не пакажа, у якім менавіта.
Паведамленні пра тое, што пэўны тып сертыфіката прымусіў выкарыстоўваць групу ECP ва ўсіх злучэннях IKEv2, апісваюць адну камбінацыю налад. Яны не ўсталёўваюць правіла пратаколу, і адносіны да іх як да правіла — гэта шлях, якім мясцовая дзівацтва становіцца палітыкай.
Прачытайце групу, якую ўзгадніў шлюз
Модуль VpnClient прапануе Set-VpnConnectionIPsecConfiguration як інтэрфейс толькі для запісу, і няма адпаведнага камандлета Get-, які чытае гэтую палітыку назад на хосце. Запішыце значэнні DHGroup і PfsGroup, якія вы прымянілі, затым прачытайце на шлюзе, што фактычна выкарыстаў абмен. Запускайце каманды пасля свежага злучэння, а не пасля перападключэння, якое выкарыстала старую асацыяцыю.
swanctl --list-sas
ipsec statusallПрофіль, які паказвае Group24, тады як шлюз паказвае modp2048s256, узгоднены, бо гэта адна і тая ж група ў двух слоўніках. Шлюз, які паказвае modp3072, тады як профіль кажа Group24, не ўзгоднены, і адзін канец не прытрымліваецца таго, што вы мяркуеце. Радок сертыфіката адказвае на асобнае пытанне аўтэнтыфікацыі, а поле PFS — на трэцяе. Параўнайце ўсе тры, перш чым пісаць заметку пра адпаведнасць.
Запішыце запытаную групу, узгодненую групу і інтэрфейс, які прыняў або адхіліў наладу. Менавіта гэтая тройка патрэбная рэцэнзенту, і нішто з яе нельга вывесці з назвы палітыкі.