Windows VPN Group24 vs MODP3072: quina grupa necessiteu?
Els números de grup són entrades de registre, no una classificació per mida. Assigneu el nom als seus paràmetres i després comproveu quins grups pot expressar el paràmetre de Windows.
Group24 i MODP3072 són tots dos noms d’un grup d’intercanvi de claus, i no són el mateix grup amb forces diferents. Group24 combina un mòdul de 2048 bits amb un subgrup d’ordre primer de 256 bits, mentre que MODP3072 és el grup 15 de 3072 bits. Triar un quan s’havia especificat l’altre canvia el requisit en lloc de complir-lo. Quatre coses decideixen el resultat, i cap d’elles no exigeix confiar en un nom que sembla similar.
El número és una entrada de registre, no un rang
IANA numera els grups d’intercanvi de claus en l’ordre en què es van registrar, així que un número més gran significa una entrada de registre posterior i no un grup més fort. El grup 14 és MODP de 2048 bits, el grup 15 és MODP de 3072 bits, i el grup 24 combina un mòdul de 2048 bits amb un subgrup d’ordre primer de 256 bits. Llegir l’identificador com una classificació per mida produeix exactament l’error de tractar 24 com un 15 més gran. El nom és una etiqueta, i els paràmetres que hi ha darrere són el que la negociació fa servir realment.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Els grups de corba el·líptica hi afegeixen la seva pròpia confusió, perquè el recompte de bits d’una corba descriu un cos i no un mòdul. Comparar P-384 amb un grup de cos finit de 3072 bits com si els números mesuressin una sola cosa no us diu res.
Què pot expressar l’enumeració de Windows
El registre IKE i el paràmetre de client de Windows són interfícies diferents amb vocabularis diferents. La referència del cmdlet VpnClient de Microsoft documenta que DHGroup accepta None, Group1, Group2, Group14, ECP256, ECP384 i Group24. Group15 no apareix en aquest conjunt documentat, cosa que significa que el paràmetre no pot expressar el grup que us han demanat. Això és una limitació de la interfície i no una afirmació sobre quins grups admet el protocol.
Proporcionar una grafia no llistada, un enter o una cadena de política copiada no amplia l’enumeració. Consulteu la referència per a la versió de Windows que realment desplegueu, i si el grup no està disponible, el resultat honest és una altra política aprovada o un altre client.
Manteniu DHGroup, PfsGroup i el tipus de certificat separats
DHGroup selecciona el grup per a l’intercanvi de claus IKE, i PfsGroup governa la confidencialitat cap endavant de les associacions de trànsit protegit que segueixen. Són camps separats, així que configurar-ne un correctament no diu res de l’altre. La clau RSA o ECDSA del certificat és una tercera propietat, que pertany a l’autenticació i no a l’intercanvi efímer. Per tant, un sol perfil pot ser correcte en una capa i incorrecte en una altra, i una connexió reeixida no revelarà en quina.
Els informes que un tipus de certificat concret va forçar un grup ECP en totes les connexions IKEv2 descriuen una combinació de paràmetres. No estableixen una regla del protocol, i tractar-los com una regla és com una particularitat local es converteix en política.
Llegiu el grup que la passarel·la ha negociat
El mòdul VpnClient ofereix Set-VpnConnectionIPsecConfiguration com a interfície només d’escriptura, i cap Get- cmdlet corresponent llegeix aquesta política de tornada a l’amfitrió. Anoteu els valors de DHGroup i PfsGroup que heu aplicat i després llegiu a la passarel·la què ha fet servir realment l’intercanvi. Executeu les ordres després d’una connexió nova i no després d’una reconnexió que hagi reutilitzat una associació antiga.
swanctl --list-sas
ipsec statusallUn perfil que informa de Group24 mentre la passarel·la informa de modp2048s256 és coherent, ja que són el mateix grup amb dos vocabularis. Una passarel·la que informa de modp3072 mentre el perfil diu Group24 no és coherent, i un extrem no aplica el que creieu. La línia del certificat respon la pregunta separada de l’autenticació, i el camp PFS respon la tercera. Compareu les tres coses abans d’escriure una nota de compliment.
Anoteu el grup sol·licitat, el grup negociat i la interfície que va acceptar o rebutjar el paràmetre. Aquest trio és el que un revisor necessita, i res d’això no es pot inferir del nom de la política.