Windows VPN Group24 বনাম MODP3072: আপনার কোন গ্রুপ দরকার?
গ্রুপ নম্বরগুলো রেজিস্ট্রি এন্ট্রি, আকার অনুযায়ী র্যাঙ্কিং নয়। নামটিকে তার প্যারামিটারের সাথে মিলিয়ে দেখুন, তারপর দেখুন Windows প্যারামিটার কোন গ্রুপগুলো প্রকাশ করতে পারে।
Group24 এবং MODP3072 দুটোই কী-বিনিময় গ্রুপের নাম, এবং এরা ভিন্ন শক্তির একই গ্রুপ নয়। Group24 2048-বিট মডুলাসকে 256-বিট মৌলিক-ক্রম উপগ্রুপের সাথে মিলিয়ে দেয়, যেখানে MODP3072 হলো 3072 বিটের গ্রুপ 15। অন্যটি নির্দিষ্ট থাকা অবস্থায় একটি বেছে নেওয়া প্রয়োজন পূরণের বদলে তা বদলে দেয়। ফলাফল চারটি বিষয় নির্ধারণ করে, এবং এগুলোর কোনোটিই একইরকম দেখতে নামের উপর ভরসা করতে বলে না।
নম্বরটি রেজিস্ট্রি এন্ট্রি, মর্যাদাক্রম নয়
IANA কী-বিনিময় গ্রুপগুলোকে তাদের নিবন্ধনের ক্রমে নম্বর দেয়, তাই বড় নম্বর মানে পরের রেজিস্ট্রি এন্ট্রি, শক্তিশালী গ্রুপ নয়। গ্রুপ 14 হলো 2048-বিট MODP, গ্রুপ 15 হলো 3072-বিট MODP, এবং গ্রুপ 24 2048-বিট মডুলাসকে 256-বিট মৌলিক-ক্রম উপগ্রুপের সাথে মিলিয়ে দেয়। শনাক্তকারীকে আকার-ক্রম হিসেবে পড়লে 24-কে 15-এর চেয়ে বড় ভাবার ঠিক সেই ভুলটাই হয়। নাম একটি লেবেল, আর এর পেছনের প্যারামিটারগুলোই সেই জিনিস যা আলোচনা সত্যিই ব্যবহার করে।
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
উপবৃত্তীয় বক্ররেখার গ্রুপগুলো নিজেদের বিভ্রান্তি যোগ করে, কারণ বক্ররেখার বিট-সংখ্যা একটি ক্ষেত্র বর্ণনা করে, মডুলাস নয়। P-384-কে 3072-বিট সসীম-ক্ষেত্র গ্রুপের সাথে এমনভাবে তুলনা করা, যেন সংখ্যাগুলো একই জিনিস মাপছে, আপনাকে কিছুই বলে না।
Windows-এর গণনা কী প্রকাশ করতে পারে
IKE রেজিস্ট্রি এবং Windows ক্লায়েন্ট প্যারামিটার ভিন্ন শব্দভাণ্ডারের ভিন্ন ইন্টারফেস। Microsoft-এর VpnClient cmdlet রেফারেন্স নথিভুক্ত করে যে DHGroup None, Group1, Group2, Group14, ECP256, ECP384 এবং Group24 গ্রহণ করে। Group15 সেই নথিভুক্ত সেটে নেই, যার অর্থ প্যারামিটারটি আপনার কাছে চাওয়া গ্রুপটি প্রকাশ করতে পারে না। এটি ইন্টারফেসের সীমাবদ্ধতা, প্রোটোকল কোন গ্রুপগুলো সমর্থন করে সে বিষয়ে বিবৃতি নয়।
তালিকায় না থাকা বানান, পূর্ণসংখ্যা বা কপি করা পলিসি স্ট্রিং দেওয়া গণনা বাড়ায় না। আপনি যে Windows সংস্করণ সত্যিই স্থাপন করেন তার জন্য রেফারেন্স দেখুন, এবং গ্রুপটি না থাকলে সৎ ফলাফল হলো অন্য একটি অনুমোদিত পলিসি বা অন্য একটি ক্লায়েন্ট।
DHGroup, PfsGroup এবং সার্টিফিকেটের ধরন আলাদা রাখুন
DHGroup IKE কী-বিনিময়ের জন্য গ্রুপ বেছে নেয়, এবং PfsGroup পরবর্তী সুরক্ষিত ট্রাফিক অ্যাসোসিয়েশনগুলোর জন্য সামনের গোপনীয়তা নিয়ন্ত্রণ করে। এগুলো আলাদা ফিল্ড, তাই একটি সঠিকভাবে সেট করা অন্যটি সম্পর্কে কিছু বলে না। সার্টিফিকেটের RSA বা ECDSA কী তৃতীয় বৈশিষ্ট্য, এবং এটি প্রমাণীকরণের অন্তর্গত, ক্ষণস্থায়ী বিনিময়ের নয়। তাই একটি প্রোফাইল এক স্তরে সঠিক এবং অন্য স্তরে ভুল হতে পারে, এবং সফল সংযোগ কোনটি তা প্রকাশ করবে না।
কোনো নির্দিষ্ট সার্টিফিকেট ধরন প্রতিটি IKEv2 সংযোগে ECP গ্রুপ চাপিয়ে দিয়েছে বলে প্রতিবেদনগুলো একটি সেটিংস সমন্বয় বর্ণনা করে। তারা প্রোটোকলের কোনো নিয়ম প্রতিষ্ঠা করে না, এবং সেগুলোকে নিয়ম হিসেবে গণ্য করাই হলো স্থানীয় অদ্ভুততা পলিসি হয়ে ওঠার পথ।
গেটওয়ে যে গ্রুপে আলোচনা করেছে সেটি পড়ুন
VpnClient মডিউল Set-VpnConnectionIPsecConfiguration কে শুধু-লেখার ইন্টারফেস হিসেবে দেয়, এবং হোস্টে সেই পলিসি ফিরে পড়ার মতো কোনো সামঞ্জস্যপূর্ণ Get- cmdlet নেই। আপনি যে DHGroup এবং PfsGroup মান প্রয়োগ করেছেন তা লিখে রাখুন, তারপর গেটওয়েতে পড়ুন বিনিময়টি আসলে কী ব্যবহার করেছে। কমান্ডগুলো নতুন সংযোগের পরে চালান, পুরোনো অ্যাসোসিয়েশন পুনরায় ব্যবহার করা পুনঃসংযোগের পরে নয়।
swanctl --list-sas
ipsec statusallপ্রোফাইল Group24 জানালে এবং গেটওয়ে modp2048s256 জানালে তা সামঞ্জস্যপূর্ণ, কারণ এগুলো দুই শব্দভাণ্ডারে একই গ্রুপ। গেটওয়ে modp3072 জানালে এবং প্রোফাইল Group24 বললে তা সামঞ্জস্যপূর্ণ নয়, এবং এক প্রান্ত আপনি যা মনে করেন তা প্রয়োগ করছে না। সার্টিফিকেটের লাইনটি আলাদা প্রমাণীকরণ প্রশ্নের উত্তর দেয়, এবং PFS ফিল্ড তৃতীয়টির। সম্মতি নোট লেখার আগে তিনটিই তুলনা করুন।
চাওয়া গ্রুপ, আলোচিত গ্রুপ এবং সেটিং গ্রহণ বা প্রত্যাখ্যানকারী ইন্টারফেস লিখে রাখুন। এই ত্রয়ীটাই পর্যালোচকের দরকার, এবং এর কিছুই পলিসির নাম থেকে অনুমান করা যায় না।