Windows VPN Group24 vs MODP3072: minkä ryhmän tarvitset?
Ryhmänumerot ovat rekisterimerkintöjä, eivät kokojärjestys. Yhdistä nimi sen parametreihin ja tarkista sitten, mitkä ryhmät Windows-parametri voi ilmaista.
Group24 ja MODP3072 ovat molemmat avaimenvaihtoryhmän nimiä, eivätkä ne ole sama ryhmä eri vahvuuksina. Group24 yhdistää 2048 bitin moduulin 256 bitin aliryhmään, jonka kertaluku on alkuluku, kun taas MODP3072 on 3072 bitin ryhmä 15. Toisen valitseminen, kun toinen oli määritetty, muuttaa vaatimusta sen täyttämisen sijaan. Neljä asiaa ratkaisee tuloksen, eikä mikään niistä vaadi luottamista samalta näyttävään nimeen.
Numero on rekisterimerkintä, ei sijoitus
IANA numeroi avaimenvaihtoryhmät siinä järjestyksessä kuin ne rekisteröitiin, joten suurempi numero tarkoittaa myöhempää rekisterimerkintää eikä vahvempaa ryhmää. Ryhmä 14 on 2048 bitin MODP, ryhmä 15 on 3072 bitin MODP ja ryhmä 24 yhdistää 2048 bitin moduulin 256 bitin aliryhmään, jonka kertaluku on alkuluku. Tunnisteen lukeminen kokojärjestyksenä tuottaa juuri sen virheen, että 24 pidetään suurempana 15:nä. Nimi on tarra, ja sen takana olevat parametrit ovat se, mitä neuvottelu todella käyttää.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elliptisten käyrien ryhmät lisäävät oman sekaannuksensa, koska käyrän bittimäärä kuvaa kuntaa eikä moduulia. P-384:n vertaaminen 3072 bitin äärellisen kunnan ryhmään ikään kuin luvut mittaisivat samaa asiaa ei kerro sinulle mitään.
Mitä Windowsin luettelo voi ilmaista
IKE-rekisteri ja Windowsin asiakasparametri ovat eri rajapintoja, joilla on eri sanastot. Microsoftin VpnClient-cmdlet-viite dokumentoi, että DHGroup hyväksyy arvot None, Group1, Group2, Group14, ECP256, ECP384 ja Group24. Group15 ei esiinny tässä dokumentoidussa joukossa, mikä tarkoittaa, että parametri ei voi ilmaista pyydettyä ryhmää. Tämä on rajapinnan rajoitus eikä väite siitä, mitä ryhmiä protokolla tukee.
Luetteloon kuulumattoman kirjoitusasun, kokonaisluvun tai kopioidun käytäntömerkkijonon antaminen ei laajenna luetteloa. Tarkista viite siltä Windows-versiolta, jonka todella otat käyttöön, ja jos ryhmä ei ole saatavilla, rehellinen tulos on toinen hyväksytty käytäntö tai toinen asiakas.
Pidä DHGroup, PfsGroup ja varmennetyyppi erillään
DHGroup valitsee ryhmän IKE-avaimenvaihtoon, ja PfsGroup ohjaa eteenpäin salaisuutta suojatun liikenteen assosiaatioille, jotka seuraavat. Ne ovat erillisiä kenttiä, joten toisen oikea asetus ei kerro toisesta mitään. Varmenteen RSA- tai ECDSA-avain on kolmas ominaisuus ja kuuluu todennukseen, ei efemeeriseen vaihtoon. Yksi profiili voi siksi olla yhdessä kerroksessa oikein ja toisessa väärin, eikä onnistunut yhteys paljasta kummassa.
Raportit siitä, että tietty varmennetyyppi pakotti ECP-ryhmän jokaiseen IKEv2-yhteyteen, kuvaavat yhtä asetusten yhdistelmää. Ne eivät vahvista protokollan sääntöä, ja niiden kohteleminen sääntönä on tapa, jolla paikallisesta erikoisuudesta tulee käytäntö.
Lue ryhmä, jonka yhdyskäytävä neuvotteli
VpnClient-moduuli tarjoaa Set-VpnConnectionIPsecConfiguration vain kirjoitettavana rajapintana, eikä vastaavaa Get- cmdletia ole lukemassa tätä käytäntöä takaisin isännällä. Kirjaa käyttämäsi DHGroup- ja PfsGroup-arvot ja lue sitten yhdyskäytävältä, mitä vaihto todella käytti. Suorita komennot tuoreen yhteyden jälkeen, älä uudelleenyhdistämisen jälkeen, joka käytti vanhaa assosiaatiota.
swanctl --list-sas
ipsec statusallProfiili, joka ilmoittaa Group24:n, kun yhdyskäytävä ilmoittaa modp2048s256:n, on johdonmukainen, koska kyse on samasta ryhmästä kahdella sanastolla. Yhdyskäytävä, joka ilmoittaa modp3072:n, kun profiili sanoo Group24, ei ole johdonmukainen, eikä toinen päätepiste valvo sitä, mitä luulet. Varmennusrivi vastaa erilliseen todennuskysymykseen ja PFS-kenttä kolmanteen. Vertaa kaikkia kolmea ennen vaatimustenmukaisuusmuistion kirjoittamista.
Kirjaa pyydetty ryhmä, neuvoteltu ryhmä ja rajapinta, joka hyväksyi tai hylkäsi asetuksen. Juuri tuo kolmikko on se, mitä arvioija tarvitsee, eikä mitään siitä voi päätellä käytännön nimestä.