Windows VPN Group24 kontraŭ MODP3072: kiun grupon vi bezonas?
Grupaj numeroj estas registraj enskriboj, ne rangigo laŭ grando. Ligu la nomon al ĝiaj parametroj, poste kontrolu, kiujn grupojn la Windows-parametro povas esprimi.
Group24 kaj MODP3072 estas ambaŭ nomoj por ŝlosilinterŝanĝa grupo, kaj ili ne estas la sama grupo en malsamaj fortoj. Group24 kombinas modulon de 2048 bitoj kun subgrupo de prima ordo de 256 bitoj, dum MODP3072 estas la 3072-bita grupo 15. Elekti unu kiam la alia estis specifita ŝanĝas la postulon anstataŭ plenumi ĝin. Kvar aferoj decidas la rezulton, kaj neniu el ili postulas fidi nomon, kiu aspektas simila.
La numero estas registra enskribo, ne rango
IANA numeras ŝlosilinterŝanĝajn grupojn laŭ la ordo de ilia registrado, do pli granda numero signifas pli malfruan registran enskribon, ne pli fortan grupon. Grupo 14 estas 2048-bita MODP, grupo 15 estas 3072-bita MODP, kaj grupo 24 kombinas modulon de 2048 bitoj kun subgrupo de prima ordo de 256 bitoj. Legi la identigilon kiel grandan rangigon produktas precize la eraron trakti 24 kiel pli grandan 15. La nomo estas etikedo, kaj la parametroj malantaŭ ĝi estas tio, kion la intertraktado efektive uzas.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupoj sur elipsaj kurboj aldonas sian propran konfuzon, ĉar la bitokvanto de kurbo priskribas kampon, ne modulon. Kompari P-384 kun 3072-bita grupo de finia kampo kvazaŭ la nombroj mezurus unu aferon diras al vi nenion.
Kion la Windows-enumeracio povas esprimi
La IKE-registro kaj la Windows-klienta parametro estas malsamaj interfacoj kun malsamaj vortaroj. La VpnClient-cmdlet-referenco de Microsoft dokumentas, ke DHGroup akceptas None, Group1, Group2, Group14, ECP256, ECP384 kaj Group24. Group15 ne aperas en tiu dokumentita aro, kio signifas, ke la parametro ne povas esprimi la grupon, kiun oni petis de vi. Tio estas limigo de la interfaco, ne aserto pri tio, kiujn grupojn la protokolo subtenas.
Provizi nelistigitan literumadon, entjeron aŭ kopiitan politikan signoĉenon ne etendas la enumeracion. Kontrolu la referencon por la Windows-versio, kiun vi efektive uzas, kaj se la grupo ne haveblas, la honesta rezulto estas alia aprobita politiko aŭ alia kliento.
Tenu DHGroup, PfsGroup kaj la atestiltipon aparte
DHGroup elektas la grupon por la IKE-ŝlosilinterŝanĝo, kaj PfsGroup regas antaŭen sekretecon por la asocioj de protektita trafiko, kiuj sekvas. Ili estas apartaj kampoj, do ĝusta agordo de unu diras nenion pri la alia. La RSA- aŭ ECDSA-ŝlosilo de la atestilo estas tria propraĵo kaj apartenas al aŭtentikigo, ne al la efemera interŝanĝo. Unu profilo do povas esti ĝusta en unu tavolo kaj malĝusta en alia, kaj sukcesa konekto ne malkaŝos en kiu.
Raportoj, ke certa atestiltipo devigis ECP-grupon ĉe ĉiu IKEv2-konekto, priskribas unu kombinaĵon de agordoj. Ili ne establas regulon de la protokolo, kaj trakti ilin kiel regulon estas la maniero, kiel loka kaprico fariĝas politiko.
Legu la grupon, pri kiu intertraktis la pordego
La VpnClient-modulo proponas Set-VpnConnectionIPsecConfiguration kiel nur-skriban interfacon, kaj neniu responda Get--cmdlet relegas tiun politikon sur la gastiganto. Notu la valorojn de DHGroup kaj PfsGroup, kiujn vi aplikis, poste legu ĉe la pordego, kion la interŝanĝo efektive uzis. Rulu la komandojn post freŝa konekto, ne post rekonekto, kiu reuzis malnovan asociiĝon.
swanctl --list-sas
ipsec statusallProfilo, kiu raportas Group24 dum la pordego raportas modp2048s256, estas kohera, ĉar temas pri la sama grupo en du vortaroj. Pordego, kiu raportas modp3072 dum la profilo diras Group24, ne estas kohera, kaj unu finpunkto ne plenumas tion, kion vi kredas. La atestila linio respondas la apartan aŭtentikigan demandon, kaj la PFS-kampo respondas la trian. Komparu ĉiujn tri antaŭ ol skribi konforman noton.
Notu la petitan grupon, la intertraktitan grupon kaj la interfacon, kiu akceptis aŭ rifuzis la agordon. Tiu triopo estas tio, kion revizoro bezonas, kaj nenio el ĝi povas esti deduktita el la politika nomo.