Windows VPN Group24 vs MODP3072: Welche Gruppe brauchen Sie?
Gruppennummern sind Registrierungseinträge, keine Rangfolge nach Größe. Ordnen Sie den Namen seinen Parametern zu und prüfen Sie dann, welche Gruppen der Windows-Parameter ausdrücken kann.
Group24 und MODP3072 sind beide Namen für eine Schlüsselaustauschgruppe, und sie sind nicht dieselbe Gruppe mit unterschiedlicher Stärke. Group24 kombiniert einen Modulus von 2048 Bit mit einer Untergruppe primer Ordnung von 256 Bit, während MODP3072 die 3072-Bit-Gruppe 15 ist. Eine davon zu wählen, wenn die andere vorgegeben war, ändert die Anforderung, statt sie zu erfüllen. Vier Dinge entscheiden über das Ergebnis, und keines davon verlangt, einem ähnlich aussehenden Namen zu vertrauen.
Die Nummer ist ein Registrierungseintrag, kein Rang
IANA nummeriert Schlüsselaustauschgruppen in der Reihenfolge ihrer Registrierung, eine größere Nummer bedeutet also einen späteren Registrierungseintrag und keine stärkere Gruppe. Gruppe 14 ist 2048-Bit-MODP, Gruppe 15 ist 3072-Bit-MODP, und Gruppe 24 kombiniert einen Modulus von 2048 Bit mit einer Untergruppe primer Ordnung von 256 Bit. Die Kennung als Größenrangfolge zu lesen erzeugt genau den Fehler, 24 für eine größere 15 zu halten. Der Name ist ein Etikett, und die Parameter dahinter sind das, was die Aushandlung tatsächlich verwendet.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elliptische-Kurven-Gruppen bringen ihre eigene Verwirrung mit, denn die Bitanzahl einer Kurve beschreibt ein Feld und keinen Modulus. P-384 mit einer 3072-Bit-Gruppe über einem endlichen Feld zu vergleichen, als würden die Zahlen dasselbe messen, sagt Ihnen nichts.
Was die Windows-Aufzählung ausdrücken kann
Die IKE-Registrierung und der Windows-Clientparameter sind unterschiedliche Schnittstellen mit unterschiedlichen Vokabularen. Die VpnClient-Cmdlet-Referenz von Microsoft dokumentiert, dass DHGroup None, Group1, Group2, Group14, ECP256, ECP384 und Group24 akzeptiert. Group15 erscheint in diesem dokumentierten Satz nicht, was bedeutet, dass der Parameter die angeforderte Gruppe nicht ausdrücken kann. Das ist eine Einschränkung der Schnittstelle und keine Aussage darüber, welche Gruppen das Protokoll unterstützt.
Eine nicht aufgeführte Schreibweise, eine Ganzzahl oder eine kopierte Richtlinienzeichenfolge anzugeben, erweitert die Aufzählung nicht. Prüfen Sie die Referenz für die Windows-Version, die Sie tatsächlich einsetzen, und ist die Gruppe nicht verfügbar, dann ist das ehrliche Ergebnis eine andere genehmigte Richtlinie oder ein anderer Client.
DHGroup, PfsGroup und Zertifikatstyp auseinanderhalten
DHGroup wählt die Gruppe für den IKE-Schlüsselaustausch, und PfsGroup regelt die Forward Secrecy für die Assoziationen des geschützten Datenverkehrs, die folgen. Es sind getrennte Felder, eine korrekte Einstellung des einen sagt also nichts über das andere. Der RSA- oder ECDSA-Schlüssel des Zertifikats ist eine dritte Eigenschaft und gehört zur Authentifizierung, nicht zum ephemeren Austausch. Ein einzelnes Profil kann daher in einer Schicht richtig und in einer anderen falsch sein, und eine erfolgreiche Verbindung verrät nicht, in welcher.
Berichte, ein bestimmter Zertifikatstyp habe bei jeder IKEv2-Verbindung eine ECP-Gruppe erzwungen, beschreiben eine Kombination von Einstellungen. Sie begründen keine Regel des Protokolls, und sie als Regel zu behandeln ist der Weg, auf dem eine lokale Eigenheit zur Richtlinie wird.
Lesen Sie die Gruppe, die das Gateway ausgehandelt hat
Das VpnClient-Modul bietet Set-VpnConnectionIPsecConfiguration als reine Schreibschnittstelle, und kein passendes Get--Cmdlet liest diese Richtlinie auf dem Host zurück. Notieren Sie die von Ihnen angewendeten Werte für DHGroup und PfsGroup und lesen Sie dann am Gateway, was der Austausch tatsächlich verwendet hat. Führen Sie die Befehle nach einer frischen Verbindung aus und nicht nach einem Wiederverbinden, das eine alte Assoziation weiterverwendet hat.
swanctl --list-sas
ipsec statusallEin Profil, das Group24 meldet, während das Gateway modp2048s256 meldet, ist stimmig, denn das ist dieselbe Gruppe in zwei Vokabularen. Ein Gateway, das modp3072 meldet, während das Profil Group24 sagt, ist nicht stimmig, und ein Endpunkt setzt nicht durch, was Sie annehmen. Die Zertifikatszeile beantwortet die separate Authentifizierungsfrage, und das PFS-Feld beantwortet die dritte. Vergleichen Sie alle drei, bevor Sie eine Compliance-Notiz schreiben.
Notieren Sie die angeforderte Gruppe, die ausgehandelte Gruppe und die Schnittstelle, die die Einstellung angenommen oder abgelehnt hat. Diese Dreiergruppe braucht ein Prüfer, und nichts davon lässt sich aus dem Richtliniennamen ableiten.