Windows VPN Group24 vs MODP3072: zein talde behar duzu?
Talde-zenbakiak erregistro-sarrerak dira, ez tamainaren araberako sailkapena. Lotu izena bere parametroekin, eta gero egiaztatu Windows parametroak zein talde adieraz ditzakeen.
Group24 eta MODP3072 gako-truke talde baten bi izenak dira, eta ez dira indar ezberdineko talde bera. Group24-k 2048 biteko modulua 256 biteko ordena leheneko azpitalde batekin konbinatzen du, eta MODP3072, berriz, 3072 biteko 15 zenbakiko taldea da. Bestea zehaztuta zegoenean bat aukeratzeak baldintza aldatzen du, hura bete ordez. Lau gauzek erabakitzen dute emaitza, eta horietako batek ere ez du antzeko itxura duen izen batean fidatzea eskatzen.
Zenbakia erregistro-sarrera da, ez maila
IANAk gako-truke taldeak erregistratu ziren ordenan zenbakitzen ditu, beraz zenbaki handiagoak geroagoko erregistro-sarrera esan nahi du, ez talde indartsuagoa. 14 zenbakiko taldea 2048 biteko MODP da, 15 zenbakiko taldea 3072 biteko MODP, eta 24 zenbakiko taldeak 2048 biteko modulua 256 biteko ordena leheneko azpitalde batekin konbinatzen du. Identifikatzailea tamainaren araberako sailkapen gisa irakurtzeak 24 15 baino handiagotzat hartzeko akatsa sortzen du zehazki. Izena etiketa bat da, eta haren atzeko parametroak dira negoziazioak benetan erabiltzen duena.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Kurba eliptikoko taldeek beren nahasmena gehitzen dute, kurbaren bit-kopuruak eremu bat deskribatzen baitu, ez modulu bat. P-384 3072 biteko eremu finituko talde batekin alderatzea, zenbakiek gauza bera neurtuko balute bezala, ez dizu ezer esaten.
Zer adieraz dezakeen Windowsen zerrendak
IKE erregistroa eta Windows bezeroaren parametroa elkarrizketa ezberdineko interfaze ezberdinak dira. Microsoftek VpnClient cmdlet erreferentzian dokumentatzen du DHGroup parametroak None, Group1, Group2, Group14, ECP256, ECP384 eta Group24 onartzen dituela. Group15 ez da dokumentatutako multzo horretan agertzen, eta horrek esan nahi du parametroak ezin duela eskatutako taldea adierazi. Interfazearen muga da hau, ez protokoloak zein talde onartzen dituen dioen baieztapena.
Zerrendatu gabeko idazkera, zenbaki oso bat edo kopiatutako politika-kate bat emateak ez du zerrenda hedatzen. Egiaztatu benetan inplementatzen duzun Windows bertsiorako erreferentzia, eta taldea eskuragarri ez badago, emaitza zintzoa beste politika onartu bat edo beste bezero bat da.
Eduki DHGroup, PfsGroup eta ziurtagiri mota bereizita
DHGroup parametroak IKE gako-trukerako taldea hautatzen du, eta PfsGroup parametroak ondorengo trafiko babestuaren elkartzeen aurreranzko isilpekotasuna gobernatzen du. Eremu bereiziak dira, beraz bat ondo ezartzeak ez du ezer esaten besteaz. Ziurtagiriaren RSA edo ECDSA gakoa hirugarren propietatea da, autentifikazioari dagokiona, ez truke efimeroari. Beraz, profil bakar bat geruza batean zuzen eta bestean oker egon daiteke, eta konexio arrakastatsuak ez du agerian utziko zeinetan.
Ziurtagiri mota jakin batek IKEv2 konexio guztietan ECP talde bat behartu zuela dioen txostenek ezarpen konbinazio bat deskribatzen dute. Ez dute protokoloaren arau bat ezartzen, eta arau gisa tratatzea tokiko bitxikeria politika bilakatzen den modua da.
Irakurri atebideak negoziatu zuen taldea
VpnClient moduluak Set-VpnConnectionIPsecConfiguration eskaintzen du idazteko soilik den interfaze gisa, eta ez dago Get- cmdlet egokirik politika hori ostalarian berriro irakurtzen duenik. Idatzi aplikatu zenituen DHGroup eta PfsGroup balioak, eta gero irakurri atebidean trukeak benetan zer erabili zuen. Exekutatu komandoak konexio berri baten ondoren, eta ez elkarte zaharra berrerabili zuen berrikonexio baten ondoren.
swanctl --list-sas
ipsec statusallGroup24 jakinarazten duen profil bat, atebideak modp2048s256 jakinarazten duen bitartean, koherentea da, hiztegi bitan talde bera baita. Atebideak modp3072 jakinarazten badu eta profilean Group24 badio, ez da koherentea, eta mutur batek ez du zuk uste duzuna betearazten. Ziurtagiriaren lerroak autentifikazioaren galdera bereizia erantzuten du, eta PFS eremuak hirugarrena. Konparatu hirurak betetze-ohar bat idatzi aurretik.
Idatzi eskatutako taldea, negoziatutako taldea eta ezarpena onartu edo ukatu zuen interfazea. Hirukote hori da berrikusleak behar duena, eta haren ezer ezin da politika-izenetik ondorioztatu.