Windows VPN Group24 frente a MODP3072: ¿qué grupo necesita?
Los números de grupo son entradas de registro, no una clasificación por tamaño. Asocie el nombre con sus parámetros y después compruebe qué grupos puede expresar el parámetro de Windows.
Group24 y MODP3072 son ambos nombres de un grupo de intercambio de claves, y no son el mismo grupo con fuerzas distintas. Group24 combina un módulo de 2048 bits con un subgrupo de orden primo de 256 bits, mientras que MODP3072 es el grupo 15 de 3072 bits. Elegir uno cuando se había especificado el otro cambia el requisito en lugar de cumplirlo. Cuatro cosas deciden el resultado, y ninguna de ellas exige confiar en un nombre que parece similar.
El número es una entrada de registro, no un rango
IANA numera los grupos de intercambio de claves en el orden en que se registraron, así que un número mayor significa una entrada de registro posterior y no un grupo más fuerte. El grupo 14 es MODP de 2048 bits, el grupo 15 es MODP de 3072 bits, y el grupo 24 combina un módulo de 2048 bits con un subgrupo de orden primo de 256 bits. Leer el identificador como una clasificación por tamaño produce exactamente el error de tratar 24 como un 15 más grande. El nombre es una etiqueta, y los parámetros que hay detrás son lo que la negociación usa realmente.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Los grupos de curva elíptica añaden su propia confusión, porque el número de bits de una curva describe un cuerpo y no un módulo. Comparar P-384 con un grupo de cuerpo finito de 3072 bits como si los números midieran una sola cosa no le dice nada.
Qué puede expresar la enumeración de Windows
El registro IKE y el parámetro de cliente de Windows son interfaces distintas con vocabularios distintos. La referencia del cmdlet VpnClient de Microsoft documenta que DHGroup acepta None, Group1, Group2, Group14, ECP256, ECP384 y Group24. Group15 no aparece en ese conjunto documentado, lo que significa que el parámetro no puede expresar el grupo que se le pidió. Es una limitación de la interfaz y no una afirmación sobre qué grupos admite el protocolo.
Proporcionar una grafía no listada, un entero o una cadena de directiva copiada no amplía la enumeración. Consulte la referencia para la versión de Windows que despliega realmente y, si el grupo no está disponible, el resultado honesto es otra directiva aprobada u otro cliente.
Mantenga DHGroup, PfsGroup y el tipo de certificado separados
DHGroup selecciona el grupo para el intercambio de claves IKE, y PfsGroup gobierna el secreto hacia adelante de las asociaciones de tráfico protegido que siguen. Son campos separados, así que configurar uno correctamente no dice nada del otro. La clave RSA o ECDSA del certificado es una tercera propiedad y pertenece a la autenticación, no al intercambio efímero. Por tanto, un solo perfil puede ser correcto en una capa e incorrecto en otra, y una conexión correcta no revelará en cuál.
Los informes de que un tipo de certificado concreto forzó un grupo ECP en todas las conexiones IKEv2 describen una combinación de ajustes. No establecen una regla del protocolo, y tratarlos como una regla es la forma en que una peculiaridad local se convierte en directiva.
Lea el grupo que negoció la puerta de enlace
El módulo VpnClient ofrece Set-VpnConnectionIPsecConfiguration como interfaz de solo escritura, y ningún Get- cmdlet correspondiente vuelve a leer esa directiva en el host. Anote los valores de DHGroup y PfsGroup que aplicó y después lea en la puerta de enlace qué usó realmente el intercambio. Ejecute los comandos tras una conexión nueva y no tras una reconexión que reutilizó una asociación antigua.
swanctl --list-sas
ipsec statusallUn perfil que informa de Group24 mientras la puerta de enlace informa de modp2048s256 es coherente, ya que son el mismo grupo con dos vocabularios. Una puerta de enlace que informa de modp3072 mientras el perfil dice Group24 no es coherente, y un extremo no aplica lo que usted cree. La línea del certificado responde a la pregunta separada de autenticación, y el campo PFS responde a la tercera. Compare las tres antes de escribir una nota de cumplimiento.
Anote el grupo solicitado, el grupo negociado y la interfaz que aceptó o rechazó el ajuste. Ese trío es lo que necesita un revisor, y nada de ello puede deducirse del nombre de la directiva.