Windows VPN Group24 vs MODP3072: hvilken gruppe har du brug for?
Gruppenumre er registreringsposter, ikke en rangorden efter størrelse. Knyt navnet til dets parametre, og kontroller derefter, hvilke grupper Windows-parameteren kan udtrykke.
Group24 og MODP3072 er begge navne for en nøgleudvekslingsgruppe, og de er ikke den samme gruppe i forskellige styrker. Group24 kombinerer et modulus på 2048 bit med en undergruppe af primtalorden på 256 bit, mens MODP3072 er den 3072-bit gruppe 15. At vælge den ene, når den anden blev angivet, ændrer kravet i stedet for at opfylde det. Fire ting afgør resultatet, og ingen af dem kræver, at man stoler på et navn, der ligner.
Tallet er en registreringspost, ikke en rang
IANA nummererer nøgleudvekslingsgrupper i den rækkefølge, de blev registreret, så et større tal betyder en senere registreringspost og ikke en stærkere gruppe. Gruppe 14 er 2048-bit MODP, gruppe 15 er 3072-bit MODP, og gruppe 24 kombinerer et modulus på 2048 bit med en undergruppe af primtalorden på 256 bit. At læse identifikatoren som en rangorden efter størrelse frembringer netop fejlen at behandle 24 som en større 15. Navnet er en etiket, og parametrene bag det er det, forhandlingen faktisk bruger.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupper på elliptiske kurver tilføjer deres egen forvirring, fordi en kurves bittal beskriver et felt og ikke et modulus. At sammenligne P-384 med en gruppe over et endeligt felt på 3072 bit, som om tallene målte én ting, fortæller dig intet.
Hvad Windows-opregningen kan udtrykke
IKE-registret og Windows-klientparameteren er forskellige grænseflader med forskellige ordforråd. Microsofts referencedokumentation for VpnClient-cmdletten angiver, at DHGroup accepterer None, Group1, Group2, Group14, ECP256, ECP384 og Group24. Group15 optræder ikke i det dokumenterede sæt, hvilket betyder, at parameteren ikke kan udtrykke den gruppe, du blev bedt om. Det er en begrænsning i grænsefladen og ikke en udtalelse om, hvilke grupper protokollen understøtter.
Angivelse af en ikke-opregnet stavemåde, et heltal eller en kopieret politikstreng udvider ikke opregningen. Kontroller dokumentationen for den Windows-version, du faktisk implementerer, og hvis gruppen ikke er tilgængelig, er det ærlige resultat en anden godkendt politik eller en anden klient.
Hold DHGroup, PfsGroup og certifikattype adskilt
DHGroup vælger gruppen til IKE-nøgleudvekslingen, og PfsGroup styrer forward secrecy for de beskyttede trafikassociationer, der følger. De er separate felter, så korrekt indstilling af det ene siger intet om det andet. Certifikatets RSA- eller ECDSA-nøgle er en tredje egenskab, som hører til autentificering og ikke til den efemere udveksling. En enkelt profil kan derfor være rigtig i ét lag og forkert i et andet, og en vellykket forbindelse afslører ikke hvilket.
Rapporter om, at en bestemt certifikattype tvang en ECP-gruppe på hver IKEv2-forbindelse, beskriver én kombination af indstillinger. De fastslår ikke en regel i protokollen, og at behandle dem som en regel er, hvordan en lokal særhed bliver til politik.
Læs den gruppe, gatewayen forhandlede
VpnClient-modulet tilbyder Set-VpnConnectionIPsecConfiguration som en grænseflade, der kun kan skrive, og der findes ingen tilsvarende Get--cmdlet, der læser politikken tilbage på værten. Notér de DHGroup- og PfsGroup-værdier, du anvendte, og læs derefter på gatewayen, hvad udvekslingen faktisk brugte. Kør kommandoerne efter en ny forbindelse og ikke efter en genopkobling, der genbrugte en gammel association.
swanctl --list-sas
ipsec statusallEn profil, der rapporterer Group24, mens gatewayen rapporterer modp2048s256, er konsistent, da det er den samme gruppe i to ordforråd. En gateway, der rapporterer modp3072, mens profilen siger Group24, er ikke konsistent, og det ene endepunkt håndhæver ikke det, du tror. Certifikatlinjen besvarer det særskilte autentificeringsspørgsmål, og PFS-feltet besvarer det tredje. Sammenlign alle tre, før du skriver en compliance-note.
Notér den anmodede gruppe, den forhandlede gruppe og den grænseflade, der accepterede eller afviste indstillingen. Den trio er det, en anmelder har brug for, og intet af det kan udledes af politiknavnet.