Windows VPN Group24 vs MODP3072: millist gruppi teil vaja on?
Gruppide numbrid on registrikanded, mitte suuruse järgi koostatud paremusjärjestus. Seostage nimi selle parameetritega ja seejärel kontrollige, milliseid gruppe Windowsi parameeter väljendada suudab.
Group24 ja MODP3072 on mõlemad võtmevahetusgrupi nimed ja need ei ole sama grupp erineva tugevusega. Group24 ühendab 2048-bitise mooduli 256-bitise algarvulise järguga alarühmaga, samas kui MODP3072 on 3072-bitine grupp 15. Ühe valimine siis, kui oli määratud teine, muudab nõuet selle täitmise asemel. Tulemuse otsustavad neli asja ja ükski neist ei nõua sarnaselt kõlava nime usaldamist.
Number on registrikanne, mitte järjekoht
IANA nummerdab võtmevahetusgruppe nende registreerimise järjekorras, seega suurem number tähendab hilisemat registrikannet, mitte tugevamat gruppi. Grupp 14 on 2048-bitine MODP, grupp 15 on 3072-bitine MODP ja grupp 24 ühendab 2048-bitise mooduli 256-bitise algarvulise järguga alarühmaga. Identifikaatori lugemine suuruse paremusjärjestusena tekitab täpselt selle vea, et 24 peetakse suuremaks 15-st. Nimi on silt ja selle taga olevad parameetrid on see, mida läbirääkimine tegelikult kasutab.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elliptiliste kõverate grupid lisavad oma segaduse, sest kõvera bittide arv kirjeldab korpust, mitte moodulit. P-384 võrdlemine 3072-bitise lõpliku korpuse grupiga, nagu mõõdaksid numbrid sama asja, ei ütle teile midagi.
Mida Windowsi loend väljendada suudab
IKE register ja Windowsi kliendi parameeter on erinevad liidesed erinevate sõnavaradega. Microsofti VpnClienti cmdleti viide dokumenteerib, et DHGroup aktsepteerib None, Group1, Group2, Group14, ECP256, ECP384 ja Group24. Group15 ei esine selles dokumenteeritud kogumis, mis tähendab, et parameeter ei suuda väljendada teilt nõutud gruppi. See on liidese piirang, mitte väide selle kohta, milliseid gruppe protokoll toetab.
Loendisse mittekuuluva kirjaviisi, täisarvu või kopeeritud poliitikastringi esitamine loendit ei laienda. Kontrollige viidet Windowsi versiooni jaoks, mida te tegelikult juurutate, ja kui grupp pole saadaval, on aus tulemus teine kinnitatud poliitika või teine klient.
Hoidke DHGroup, PfsGroup ja sertifikaadi tüüp lahus
DHGroup valib grupi IKE võtmevahetuseks ja PfsGroup juhib edasisuunalist saladust järgnevate kaitstud liikluse assotsiatsioonide jaoks. Need on eraldi väljad, seega ühe õige seadistamine ei ütle teise kohta midagi. Sertifikaadi RSA või ECDSA võti on kolmas omadus ja kuulub autentimise, mitte efemeerse vahetuse juurde. Seega võib üks profiil olla ühes kihis õige ja teises vale, ning edukas ühendus ei paljasta, millises.
Aruanded, et teatud sertifikaadi tüüp sundis igas IKEv2 ühenduses ECP gruppi, kirjeldavad üht seadete kombinatsiooni. Need ei kehtesta protokolli reeglit ja nende kohtlemine reeglina on viis, kuidas kohalik veidrus saab poliitikaks.
Lugege grupp, mille lüüs läbi rääkis
VpnClienti moodul pakub Set-VpnConnectionIPsecConfiguration ainult kirjutamise liidesena ja ükski vastav Get- cmdlet ei loe seda poliitikat hostis tagasi. Kirjutage üles rakendatud DHGroup ja PfsGroup väärtused ning seejärel lugege lüüsilt, mida vahetus tegelikult kasutas. Käivitage käsud pärast värsket ühendust, mitte pärast uuesti ühendamist, mis kasutas vana assotsiatsiooni uuesti.
swanctl --list-sas
ipsec statusallProfiil, mis teatab Group24, samal ajal kui lüüs teatab modp2048s256, on kooskõlas, sest need on sama grupp kahes sõnavaras. Lüüs, mis teatab modp3072, samal ajal kui profiil ütleb Group24, ei ole kooskõlas ja üks otspunkt ei rakenda seda, mida te arvate. Sertifikaadi rida vastab eraldi autentimisküsimusele ja PFS väli kolmandale. Võrrelge kõiki kolme enne vastavusmärkuse kirjutamist.
Kirjutage üles taotletud grupp, läbiräägitud grupp ja liides, mis seade vastu võttis või tagasi lükkas. See kolmik on see, mida ülevaataja vajab, ja midagi sellest ei saa poliitika nimest tuletada.