Windows VPN Group24 ή MODP3072: ποια ομάδα χρειάζεστε;
Οι αριθμοί ομάδων είναι καταχωρίσεις μητρώου, όχι κατάταξη μεγέθους. Αντιστοιχίστε το όνομα με τις παραμέτρους του και μετά ελέγξτε ποιες ομάδες μπορεί να εκφράσει η παράμετρος των Windows.
Το Group24 και το MODP3072 είναι και τα δύο ονόματα για μια ομάδα ανταλλαγής κλειδιών, και δεν είναι η ίδια ομάδα με διαφορετική ισχύ. Το Group24 συνδυάζει ένα modulus 2048 bit με μια υποομάδα πρώτης τάξης 256 bit, ενώ το MODP3072 είναι η ομάδα 15 των 3072 bit. Η επιλογή του ενός όταν είχε καθοριστεί το άλλο αλλάζει την απαίτηση αντί να την ικανοποιεί. Τέσσερα πράγματα καθορίζουν το αποτέλεσμα, και κανένα από αυτά δεν απαιτεί να εμπιστευτείτε ένα όνομα που μοιάζει.
Ο αριθμός είναι καταχώριση μητρώου, όχι κατάταξη
Η IANA αριθμεί τις ομάδες ανταλλαγής κλειδιών με τη σειρά καταχώρισής τους, οπότε μεγαλύτερος αριθμός σημαίνει μεταγενέστερη καταχώριση μητρώου και όχι ισχυρότερη ομάδα. Η ομάδα 14 είναι MODP 2048 bit, η ομάδα 15 είναι MODP 3072 bit, και η ομάδα 24 συνδυάζει ένα modulus 2048 bit με μια υποομάδα πρώτης τάξης 256 bit. Η ανάγνωση του αναγνωριστικού ως κατάταξης μεγέθους παράγει ακριβώς το σφάλμα να θεωρείται το 24 μεγαλύτερο του 15. Το όνομα είναι μια ετικέτα, και οι παράμετροι πίσω από αυτό είναι ό,τι χρησιμοποιεί πραγματικά η διαπραγμάτευση.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Οι ομάδες ελλειπτικών καμπυλών προσθέτουν τη δική τους σύγχυση, γιατί το πλήθος bit μιας καμπύλης περιγράφει σώμα και όχι modulus. Η σύγκριση του P-384 με μια ομάδα πεπερασμένου σώματος 3072 bit σαν να μετρούσαν οι αριθμοί το ίδιο πράγμα δεν σας λέει τίποτα.
Τι μπορεί να εκφράσει η απαρίθμηση των Windows
Το μητρώο IKE και η παράμετρος πελάτη των Windows είναι διαφορετικές διεπαφές με διαφορετικά λεξιλόγια. Η αναφορά cmdlet VpnClient της Microsoft τεκμηριώνει ότι το DHGroup δέχεται None, Group1, Group2, Group14, ECP256, ECP384 και Group24. Το Group15 δεν εμφανίζεται σε αυτό το τεκμηριωμένο σύνολο, που σημαίνει ότι η παράμετρος δεν μπορεί να εκφράσει την ομάδα που σας ζητήθηκε. Αυτός είναι περιορισμός της διεπαφής και όχι δήλωση για το ποιες ομάδες υποστηρίζει το πρωτόκολλο.
Η παροχή μιας μη καταγεγραμμένης γραφής, ενός ακέραιου ή ενός αντιγραμμένου αλφαριθμητικού πολιτικής δεν επεκτείνει την απαρίθμηση. Ελέγξτε την αναφορά για την έκδοση Windows που αναπτύσσετε πραγματικά, και αν η ομάδα δεν είναι διαθέσιμη, το έντιμο αποτέλεσμα είναι μια άλλη εγκεκριμένη πολιτική ή ένας άλλος πελάτης.
Κρατήστε το DHGroup, το PfsGroup και τον τύπο πιστοποιητικού χωριστά
Το DHGroup επιλέγει την ομάδα για την ανταλλαγή κλειδιών IKE, και το PfsGroup διέπει την εμπρόσθια μυστικότητα για τις συσχετίσεις προστατευμένης κίνησης που ακολουθούν. Είναι ξεχωριστά πεδία, οπότε η σωστή ρύθμιση του ενός δεν λέει τίποτα για το άλλο. Το κλειδί RSA ή ECDSA του πιστοποιητικού είναι τρίτη ιδιότητα και ανήκει στην ταυτοποίηση, όχι στην εφήμερη ανταλλαγή. Ένα μόνο προφίλ μπορεί επομένως να είναι σωστό σε ένα επίπεδο και λάθος σε άλλο, και μια επιτυχής σύνδεση δεν θα αποκαλύψει σε ποιο.
Οι αναφορές ότι ένας συγκεκριμένος τύπος πιστοποιητικού επέβαλε ομάδα ECP σε κάθε σύνδεση IKEv2 περιγράφουν έναν συνδυασμό ρυθμίσεων. Δεν θεμελιώνουν κανόνα του πρωτοκόλλου, και η αντιμετώπισή τους ως κανόνα είναι ο τρόπος με τον οποίο μια τοπική ιδιορρυθμία γίνεται πολιτική.
Διαβάστε την ομάδα που διαπραγματεύτηκε η πύλη
Η μονάδα VpnClient προσφέρει το Set-VpnConnectionIPsecConfiguration ως διεπαφή μόνο εγγραφής, και κανένα αντίστοιχο cmdlet Get- δεν διαβάζει αυτή την πολιτική πίσω στον κεντρικό υπολογιστή. Καταγράψτε τις τιμές DHGroup και PfsGroup που εφαρμόσατε και μετά διαβάστε στην πύλη τι χρησιμοποίησε πραγματικά η ανταλλαγή. Εκτελέστε τις εντολές μετά από νέα σύνδεση και όχι μετά από επανασύνδεση που επαναχρησιμοποίησε παλιά συσχέτιση.
swanctl --list-sas
ipsec statusallΈνα προφίλ που αναφέρει Group24 ενώ η πύλη αναφέρει modp2048s256 είναι συνεπές, αφού πρόκειται για την ίδια ομάδα σε δύο λεξιλόγια. Μια πύλη που αναφέρει modp3072 ενώ το προφίλ λέει Group24 δεν είναι συνεπής, και το ένα άκρο δεν επιβάλλει αυτό που πιστεύετε. Η γραμμή του πιστοποιητικού απαντά στο ξεχωριστό ερώτημα ταυτοποίησης, και το πεδίο PFS απαντά στο τρίτο. Συγκρίνετε και τα τρία πριν γράψετε σημείωση συμμόρφωσης.
Καταγράψτε την ομάδα που ζητήθηκε, την ομάδα που διαπραγματεύτηκε και τη διεπαφή που δέχτηκε ή απέρριψε τη ρύθμιση. Αυτή η τριάδα είναι ό,τι χρειάζεται ένας ελεγκτής, και τίποτα από αυτά δεν μπορεί να συναχθεί από το όνομα της πολιτικής.