Windows VPN Group24 در برابر MODP3072: کدام گروه را لازم دارید؟
شماره گروه‌ها ورودی‌های رجیستری هستند، نه یک رتبه‌بندی بر اساس اندازه. نام را به پارامترهایش نسبت دهید، سپس بررسی کنید پارامتر Windows کدام گروه‌ها را می‌تواند بیان کند.
Group24 و MODP3072 هر دو نام یک گروه تبادل کلید هستند و یک گروه با قدرت‌های متفاوت نیستند. Group24 مدول 2048 بیتی را با یک زیرگروه از مرتبه اول 256 بیتی ترکیب می‌کند، در حالی که MODP3072 گروه 15 با 3072 بیت است. انتخاب یکی وقتی دیگری مشخص شده بود، الزام را تغییر می‌دهد به‌جای اینکه آن را برآورده کند. چهار چیز نتیجه را تعیین می‌کند و هیچ‌کدام نیازمند اعتماد به نامی که شبیه به نظر می‌رسد نیست.
شماره یک ورودی رجیستری است، نه رتبه
IANA گروه‌های تبادل کلید را به ترتیب ثبتشان شماره‌گذاری می‌کند، بنابراین شماره بزرگ‌تر یعنی ورودی رجیستری دیرتر، نه گروه قوی‌تر. گروه 14 مدول 2048 بیتی است، گروه 15 مدول 3072 بیتی، و گروه 24 مدول 2048 بیتی را با زیرگروهی از مرتبه اول 256 بیتی ترکیب می‌کند. خواندن شناسه به‌عنوان رتبه‌بندی اندازه دقیقاً همان خطای 24 را بزرگ‌تر از 15 دانستن تولید می‌کند. نام یک برچسب است و پارامترهای پشت آن همان چیزی است که مذاکره واقعاً استفاده می‌کند.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
گروه‌های منحنی بیضوی سردرگمی خودشان را اضافه می‌کنند، زیرا تعداد بیت‌های یک منحنی میدان را توصیف می‌کند نه مدول را. مقایسه P-384 با گروه میدان متناهی 3072 بیتی چنان‌که گویی این اعداد یک چیز را می‌سنجند چیزی به شما نمی‌گوید.
آنچه شمارش Windows می‌تواند بیان کند
رجیستری IKE و پارامتر کلاینت Windows دو رابط متفاوت با واژگان متفاوت هستند. مرجع cmdlet VpnClient مایکروسافت مستند می‌کند که DHGroup مقادیر None، Group1، Group2، Group14، ECP256، ECP384 و Group24 را می‌پذیرد. Group15 در آن مجموعه مستندشده نیست، یعنی پارامتر نمی‌تواند گروهی را که از شما خواسته شده بیان کند. این محدودیت رابط است نه بیانی درباره اینکه پروتکل از کدام گروه‌ها پشتیبانی می‌کند.
ارائه یک املای فهرست‌نشده، یک عدد صحیح یا یک رشته خط‌مشی کپی‌شده شمارش را گسترش نمی‌دهد. مرجع را برای نسخه‌ای از Windows که واقعاً مستقر می‌کنید بررسی کنید، و اگر گروه در دسترس نیست، نتیجه صادقانه یک خط‌مشی تأییدشده دیگر یا یک کلاینت دیگر است.
DHGroup، PfsGroup و نوع گواهی را جدا نگه دارید
DHGroup گروه را برای تبادل کلید IKE انتخاب می‌کند و PfsGroup رازداری رو به جلو را برای انجمن‌های ترافیک محافظت‌شده‌ای که پس از آن می‌آیند کنترل می‌کند. آنها فیلدهای جداگانه‌ای هستند، بنابراین تنظیم درست یکی چیزی درباره دیگری نمی‌گوید. کلید RSA یا ECDSA گواهی ویژگی سوم است و به احراز هویت تعلق دارد نه به تبادل موقت. بنابراین یک پروفایل می‌تواند در یک لایه درست و در لایه دیگر نادرست باشد و یک اتصال موفق نشان نمی‌دهد کدام است.
گزارش‌هایی که می‌گویند نوع خاصی از گواهی در هر اتصال IKEv2 یک گروه ECP را تحمیل کرده، یک ترکیب از تنظیمات را توصیف می‌کنند. آنها قاعده‌ای از پروتکل را اثبات نمی‌کنند و برخورد با آنها به‌عنوان قاعده همان راهی است که یک ویژگی محلی به خط‌مشی تبدیل می‌شود.
گروهی را که دروازه مذاکره کرده بخوانید
ماژول VpnClient دستور Set-VpnConnectionIPsecConfiguration را به‌عنوان رابط فقط نوشتنی ارائه می‌دهد و هیچ Get- cmdlet متناظری آن خط‌مشی را روی میزبان بازنمی‌خواند. مقادیر DHGroup و PfsGroup را که اعمال کرده‌اید ثبت کنید، سپس از دروازه بخوانید که تبادل واقعاً چه چیزی استفاده کرده است. فرمان‌ها را پس از یک اتصال تازه اجرا کنید نه پس از اتصال مجددی که از انجمن قدیمی استفاده کرده است.
swanctl --list-sas
ipsec statusallپروفایلی که Group24 گزارش می‌کند در حالی که دروازه modp2048s256 گزارش می‌کند، سازگار است چون این‌ها همان گروه با دو واژگان هستند. دروازه‌ای که modp3072 گزارش می‌کند در حالی که پروفایل Group24 می‌گوید، سازگار نیست و یک سر کار آنچه را که شما باور دارید اجرا نمی‌کند. خط گواهی به پرسش جداگانه احراز هویت پاسخ می‌دهد و فیلد PFS به سومی. هر سه را پیش از نوشتن یادداشت انطباق مقایسه کنید.
گروه درخواستی، گروه مذاکره‌شده و رابطی را که تنظیم را پذیرفت یا رد کرد ثبت کنید. همین سه‌گانه چیزی است که بازبین لازم دارد و هیچ‌یک از آن از نام خط‌مشی قابل استنباط نیست.