Windows VPN Group24 a MODP3072: pa grŵp sydd ei angen arnoch?
Mae rhifau grŵp yn gofnodion cofrestr, nid yn raddoli yn ôl maint. Cysylltwch yr enw â’i baramedrau, yna gwiriwch pa grwpiau y gall paramedr Windows eu mynegi.
Mae Group24 a MODP3072 ill dau yn enwau ar grŵp cyfnewid allweddi, ac nid ydynt yr un grŵp ar gryfderau gwahanol. Mae Group24 yn cyfuno modwl 2048-bit â is-grŵp o drefn gysefin 256-bit, tra mai MODP3072 yw grŵp 15 3072-bit. Mae dewis un pan oedd y llall wedi’i nodi yn newid y gofyniad yn lle ei gyflawni. Mae pedwar peth yn penderfynu’r canlyniad, ac nid oes yr un ohonynt yn gofyn i chi ymddiried mewn enw sy’n edrych yn debyg.
Cofnod cofrestr yw’r rhif, nid rheng
Mae IANA yn rhifo grwpiau cyfnewid allweddi yn y drefn y cawsant eu cofrestru, felly mae rhif mwy yn golygu cofnod cofrestr hwyrach yn hytrach na grŵp cryfach. Modwl 2048-bit yw grŵp 14, modwl 3072-bit yw grŵp 15, ac mae grŵp 24 yn cyfuno modwl 2048-bit ag is-grŵp o drefn gysefin 256-bit. Mae darllen yr adnabydydd fel graddfa maint yn cynhyrchu’r camgymeriad o drin 24 fel 15 mwy. Label yw’r enw, a’r paramedrau y tu ôl iddo yw’r hyn y mae’r trafodaeth yn ei ddefnyddio mewn gwirionedd.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Mae grwpiau crwm elliptig yn ychwanegu eu dryswch eu hunain, oherwydd bod cyfrif bitiau crwm yn disgrifio maes yn hytrach na modwl. Nid yw cymharu P-384 â grŵp maes meidrol 3072-bit fel pe bai’r rhifau’n mesur un peth yn dweud unrhyw beth wrthych.
Beth y gall rhifo Windows ei fynegi
Mae cofrestr IKE a pharamedr cleient Windows yn rhyngwynebau gwahanol â geirfaoedd gwahanol. Mae cyfeirlyfr cmdlet VpnClient Microsoft yn nodi bod DHGroup yn derbyn None, Group1, Group2, Group14, ECP256, ECP384 a Group24. Nid yw Group15 yn ymddangos yn y set gofnodedig honno, sy’n golygu na all y paramedr fynegi’r grŵp y gofynnwyd amdano. Cyfyngiad ar y rhyngwyneb yw hyn, nid datganiad am ba grwpiau y mae’r protocol yn eu cefnogi.
Nid yw darparu sillafiad heb ei restru, cyfanrif neu linyn polisi copïedig yn ymestyn y rhifo. Gwiriwch y cyfeirlyfr ar gyfer y fersiwn Windows rydych chi’n ei ddefnyddio mewn gwirionedd, ac os nad yw’r grŵp ar gael, y canlyniad gonest yw polisi cymeradwy arall neu gleient arall.
Cadwch DHGroup, PfsGroup a math tystysgrif ar wahân
Mae DHGroup yn dewis y grŵp ar gyfer cyfnewid allweddi IKE, ac mae PfsGroup yn llywodraethu cyfrinachedd ymlaen ar gyfer y cymdeithiadau traffig gwarchodedig sy’n dilyn. Meysydd ar wahân ydynt, felly nid yw gosod un yn gywir yn dweud dim am y llall. Mae allwedd RSA neu ECDSA’r dystysgrif yn drydydd priodwedd, ac mae’n perthyn i ddilysu yn hytrach na’r cyfnewid efemeraidd. Felly gall un proffil fod yn gywir mewn un haen ac yn anghywir mewn un arall, ac ni fydd cysylltiad llwyddiannus yn datgelu pa un.
Mae adroddiadau bod math penodol o dystysgrif wedi gorfodi grŵp ECP ar bob cysylltiad IKEv2 yn disgrifio un cyfuniad o osodiadau. Nid ydynt yn sefydlu rheol y protocol, a thrin y rheini fel rheol yw’r ffordd y mae mympwy lleol yn dod yn bolisi.
Darllenwch y grŵp y mae’r porth wedi’i drafod
Mae modwl VpnClient yn cynnig Set-VpnConnectionIPsecConfiguration fel rhyngwyneb ysgrifennu yn unig, ac nid oes cmdlet Get- cyfatebol yn darllen y polisi hwnnw’n ôl ar y gwesteiwr. Cofnodwch y gwerthoedd DHGroup a PfsGroup a gymhwyswyd gennych, yna darllenwch ar y porth beth a ddefnyddiodd y cyfnewid mewn gwirionedd. Rhedegwch y gorchmynion ar ôl cysylltiad newydd yn hytrach nag ar ôl ailgysylltu a ailddefnyddiodd hen gymdeithiad.
swanctl --list-sas
ipsec statusallMae proffil sy’n adrodd Group24 tra bod y porth yn adrodd modp2048s256 yn gyson, gan mai’r un grŵp yw’r rhain o dan ddau eirfa. Nid yw porth sy’n adrodd modp3072 tra bod y proffil yn dweud Group24 yn gyson, ac nid yw un pen yn gorfodi’r hyn rydych chi’n ei gredu. Mae llinell y dystysgrif yn ateb y cwestiwn dilysu ar wahân, ac mae maes PFS yn ateb y trydydd. Cymharwch y tri cyn ysgrifennu nodyn cydymffurfio.
Cofnodwch y grŵp a ofynnwyd amdano, y grŵp a drafodwyd a’r rhyngwyneb a dderbyniodd neu a wrthododd y gosodiad. Y triawd hwnnw yw’r hyn y mae adolygydd ei angen, ac ni ellir casglu dim ohono o enw’r polisi.