Windows VPN Group24 vs MODP3072: kterou skupinu potřebujete?
Čísla skupin jsou položky registru, nikoli žebříček podle velikosti. Přiřaďte název k jeho parametrům a potom zkontrolujte, které skupiny dokáže parametr Windows vyjádřit.
Group24 a MODP3072 jsou oba názvy pro skupinu pro výměnu klíčů a nejsou to stejné skupiny s různou silou. Group24 kombinuje modul o 2048 bitech s podskupinou prvočíselného řádu o 256 bitech, zatímco MODP3072 je skupina 15 o 3072 bitech. Volba jedné, když byla zadána druhá, mění požadavek místo toho, aby ho splnila. Výsledek rozhodují čtyři věci a žádná z nich nevyžaduje důvěřovat názvu, který vypadá podobně.
Číslo je položka registru, nikoli pořadí
IANA čísluje skupiny pro výměnu klíčů v pořadí, v jakém byly registrovány, takže větší číslo znamená pozdější položku registru, nikoli silnější skupinu. Skupina 14 je MODP o 2048 bitech, skupina 15 je MODP o 3072 bitech a skupina 24 kombinuje modul o 2048 bitech s podskupinou prvočíselného řádu o 256 bitech. Čtení identifikátoru jako žebříčku podle velikosti vytváří přesně tu chybu, kdy se 24 považuje za větší 15. Název je jen štítek a parametry za ním jsou to, co vyjednávání skutečně používá.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Skupiny na eliptických křivkách přidávají vlastní zmatek, protože počet bitů křivky popisuje těleso, nikoli modul. Srovnávat P-384 se skupinou konečného tělesa o 3072 bitech, jako by čísla měřila totéž, vám nic neřekne.
Co dokáže výčet Windows vyjádřit
Registr IKE a parametr klienta Windows jsou různá rozhraní s různými slovníky. Referenční dokumentace rutiny VpnClient od Microsoftu uvádí, že DHGroup přijímá None, Group1, Group2, Group14, ECP256, ECP384 a Group24. Group15 se v této dokumentované sadě nevyskytuje, což znamená, že parametr nedokáže vyjádřit skupinu, která po vás byla požadována. To je omezení rozhraní, nikoli tvrzení o tom, které skupiny protokol podporuje.
Uvedení nezařazeného pravopisu, celého čísla nebo zkopírovaného řetězce zásady výčet nerozšiřuje. Zkontrolujte dokumentaci pro verzi Windows, kterou skutečně nasazujete, a pokud skupina není dostupná, poctivým výsledkem je jiná schválená zásada nebo jiný klient.
Držte DHGroup, PfsGroup a typ certifikátu oddělené
DHGroup vybírá skupinu pro výměnu klíčů IKE a PfsGroup řídí dopřednou utajenost pro asociace chráněného provozu, které následují. Jsou to samostatná pole, takže správné nastavení jednoho nic neříká o druhém. Klíč RSA nebo ECDSA certifikátu je třetí vlastnost a patří k autentizaci, nikoli k efemérní výměně. Jeden profil tedy může být v jedné vrstvě správně a v jiné špatně a úspěšné připojení neodhalí, ve které.
Zprávy, že určitý typ certifikátu vynutil skupinu ECP u každého připojení IKEv2, popisují jednu kombinaci nastavení. Nezakládají pravidlo protokolu a jejich braní jako pravidla je způsob, jak se z místní zvláštnosti stane zásada.
Přečtěte si skupinu, kterou brána vyjednala
Modul VpnClient nabízí Set-VpnConnectionIPsecConfiguration jako rozhraní pouze pro zápis a na hostiteli neexistuje odpovídající rutina Get-, která by tuto zásadu přečetla zpět. Zaznamenejte hodnoty DHGroup a PfsGroup, které jste použili, a potom na bráně přečtěte, co výměna skutečně použila. Spouštějte příkazy po novém připojení, ne po opětovném připojení, které znovu použilo starou asociaci.
swanctl --list-sas
ipsec statusallProfil, který hlásí Group24, zatímco brána hlásí modp2048s256, je konzistentní, protože jde o stejnou skupinu ve dvou slovnících. Brána, která hlásí modp3072, zatímco profil říká Group24, konzistentní není a jeden koncový bod nevynucuje to, co předpokládáte. Řádek certifikátu odpovídá na samostatnou otázku autentizace a pole PFS na třetí. Porovnejte všechny tři, než napíšete poznámku o shodě.
Zaznamenejte požadovanou skupinu, vyjednanou skupinu a rozhraní, které nastavení přijalo nebo odmítlo. To je trojice, kterou recenzent potřebuje, a nic z ní nelze odvodit z názvu zásady.