Windows VPN Group24 ou MODP3072 : de quel groupe avez-vous besoin ?
Les numéros de groupe sont des entrées de registre, pas un classement par taille. Associez le nom à ses paramètres, puis vérifiez quels groupes le paramètre Windows peut exprimer.
Group24 et MODP3072 sont deux noms d’un groupe d’échange de clés, et ce n’est pas le même groupe à des forces différentes. Group24 combine un module de 2048 bits avec un sous-groupe d’ordre premier de 256 bits, tandis que MODP3072 est le groupe 15 de 3072 bits. Choisir l’un alors que l’autre était spécifié modifie l’exigence au lieu de la satisfaire. Quatre éléments décident du résultat, et aucun d’eux n’exige de faire confiance à un nom qui se ressemble.
Le numéro est une entrée de registre, pas un rang
L’IANA numérote les groupes d’échange de clés dans l’ordre de leur enregistrement, donc un numéro plus grand désigne une entrée de registre plus tardive et non un groupe plus fort. Le groupe 14 est MODP de 2048 bits, le groupe 15 est MODP de 3072 bits, et le groupe 24 combine un module de 2048 bits avec un sous-groupe d’ordre premier de 256 bits. Lire l’identifiant comme un classement par taille produit exactement l’erreur de traiter 24 comme un 15 plus grand. Le nom est une étiquette, et les paramètres derrière sont ce que la négociation utilise réellement.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Les groupes de courbe elliptique ajoutent leur propre confusion, car le nombre de bits d’une courbe décrit un corps et non un module. Comparer P-384 à un groupe de corps fini de 3072 bits comme si les nombres mesuraient la même chose ne vous apprend rien.
Ce que l’énumération Windows peut exprimer
Le registre IKE et le paramètre client Windows sont des interfaces différentes avec des vocabulaires différents. La référence de la cmdlet VpnClient de Microsoft documente que DHGroup accepte None, Group1, Group2, Group14, ECP256, ECP384 et Group24. Group15 n’apparaît pas dans cet ensemble documenté, ce qui signifie que le paramètre ne peut pas exprimer le groupe demandé. C’est une limite de l’interface et non une affirmation sur les groupes pris en charge par le protocole.
Fournir une graphie non listée, un entier ou une chaîne de stratégie copiée n’étend pas l’énumération. Vérifiez la référence pour la version de Windows que vous déployez réellement, et si le groupe n’est pas disponible, le résultat honnête est une autre stratégie approuvée ou un autre client.
Gardez DHGroup, PfsGroup et le type de certificat séparés
DHGroup sélectionne le groupe pour l’échange de clés IKE, et PfsGroup régit la confidentialité persistante des associations de trafic protégé qui suivent. Ce sont des champs distincts, donc régler correctement l’un ne dit rien de l’autre. La clé RSA ou ECDSA du certificat est une troisième propriété, qui relève de l’authentification et non de l’échange éphémère. Un même profil peut donc être correct sur une couche et faux sur une autre, et une connexion réussie ne révélera pas laquelle.
Les rapports selon lesquels un type de certificat particulier a imposé un groupe ECP sur chaque connexion IKEv2 décrivent une combinaison de réglages. Ils n’établissent pas une règle du protocole, et les traiter comme une règle est la façon dont une particularité locale devient une stratégie.
Lisez le groupe que la passerelle a négocié
Le module VpnClient propose Set-VpnConnectionIPsecConfiguration comme interface en écriture seule, et aucune cmdlet Get- correspondante ne relit cette stratégie sur l’hôte. Notez les valeurs DHGroup et PfsGroup que vous avez appliquées, puis lisez sur la passerelle ce que l’échange a réellement utilisé. Exécutez les commandes après une connexion neuve et non après une reconnexion qui a réutilisé une ancienne association.
swanctl --list-sas
ipsec statusallUn profil qui indique Group24 alors que la passerelle indique modp2048s256 est cohérent, puisque c’est le même groupe sous deux vocabulaires. Une passerelle qui indique modp3072 alors que le profil dit Group24 n’est pas cohérente, et une extrémité n’applique pas ce que vous croyez. La ligne du certificat répond à la question distincte de l’authentification, et le champ PFS à la troisième. Comparez les trois avant de rédiger une note de conformité.
Notez le groupe demandé, le groupe négocié et l’interface qui a accepté ou refusé le réglage. Ce trio est ce dont un relecteur a besoin, et rien n’en est déductible du nom de la stratégie.