Windows VPN Group24 vs MODP3072: hokker groep hawwe jo nedich?
Groepsnûmers binne registerynfieringen, gjin rangskikking nei grutte. Keppelje de namme oan syn parameters, en kontrolearje dan hokker groepen de Windows-parameter útdrukke kin.
Group24 en MODP3072 binne beide nammen foar in kaai-útwikselingsgroep, en se binne net deselde groep mei ferskillende sterkte. Group24 kombinearret in modulus fan 2048 bit mei in subgroep fan prime-oarder fan 256 bit, wylst MODP3072 de 3072-bits groep 15 is. Ien kieze wylst de oare oantsjut wie, feroaret de eask ynstee fan dy te ferfoljen. Fjouwer dingen bepale de útkomst, en gjinien fan harren freget om in namme te fertrouwen dy’t der itselde útsjocht.
It nûmer is in registerynfiering, gjin rang
IANA nûmeret kaai-útwikselingsgroepen yn de folchoarder wêryn se registrearre waarden, dus in grutter nûmer betsjut in lettere registerynfiering en net in sterker groep. Groep 14 is 2048-bits MODP, groep 15 is 3072-bits MODP, en groep 24 kombinearret in modulus fan 2048 bit mei in subgroep fan prime-oarder fan 256 bit. It identifikaasjenûmer lêze as in rangskikking nei grutte produsearret krekt de flater om 24 as in gruttere 15 te behanneljen. De namme is in etiket, en de parameters dêrefter binne wat de ûnderhanneling feitlik brûkt.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Groepen op elliptyske krommen foegje har eigen betizing ta, want it bittal fan in kromme beskriuwt in fjild en net in modulus. P-384 fergelykje mei in 3072-bits einich-fjildgroep as soene de getallen ien ding mjitte, seit jo neat.
Wat de Windows-opsomming útdrukke kin
It IKE-register en de Windows-klantparameter binne ferskillende ynterfaces mei ferskillende wurdboeken. De VpnClient-cmdletreferinsje fan Microsoft dokumintearret dat DHGroup None, Group1, Group2, Group14, ECP256, ECP384 en Group24 akseptearret. Group15 komt net yn dy dokumintearre set foar, wat betsjut dat de parameter de frege groep net útdrukke kin. Dat is in beheining fan de ynterface en net in útspraak oer hokker groepen it protokoll stipet.
In net-listige stavering, in hiel getal of in kopiaarre beliedsstring jaan wreidet de opsomming net út. Kontrolearje de referinsje foar de Windows-ferzje dy’t jo feitlik ynsette, en as de groep net beskikber is, is de earlike útkomst in oar goedkard belied of in oare klant.
Hâld DHGroup, PfsGroup en sertifikaattype útinoar
DHGroup kiest de groep foar de IKE-kaai-útwikseling, en PfsGroup regelet foarútsje geheimhâlding foar de assosjaasjes fan beskerme ferkear dy’t folgje. It binne aparte fjilden, dus it iene goed ynstelle seit neat oer it oare. De RSA- of ECDSA-kaai fan it sertifikaat is in tredde eigenskip en heart by autentikaasje, net by de efemere útwikseling. Ien profyl kin dêrom yn ien laach goed en yn in oare ferkeard wêze, en in slagge ferbining sil net iepenbierje hokker.
Rapporten dat in bepaald sertifikaattype in ECP-groep ôftwong op elke IKEv2-ferbining beskriuwe ien kombinaasje fan ynstellingen. Se fêstigje gjin regel fan it protokoll, en se as regel behannelje is hoe’t in pleatslike eigenaardichheid belied wurdt.
Lês de groep dy’t de gateway ûnderhannele hat
De VpnClient-module biedt Set-VpnConnectionIPsecConfiguration as in skriuw-allinne-ynterface, en gjin byhearrende Get- cmdlet lêst dat belied werom op de host. Skriuw de DHGroup- en PfsGroup-wearden op dy’t jo tapast hawwe, en lês dan by de gateway wat de útwikseling feitlik brûkt hat. Fier de opdrachten út nei in nije ferbining en net nei in werferbining dy’t in âlde assosjaasje werbrûkt hat.
swanctl --list-sas
ipsec statusallIn profyl dat Group24 rapportearret wylst de gateway modp2048s256 rapportearret, is konsistint, om’t it deselde groep is yn twa wurdboeken. In gateway dy’t modp3072 rapportearret wylst it profyl Group24 seit, is net konsistint, en ien einpunt hanthavenet net wat jo tinke. De sertifikaatrige beantwurdet de aparte autentikaasjefraach, en it PFS-fjild beantwurdet de tredde. Fergelykje alle trije foar’t jo in neilibbensnotysje skriuwe.
Skriuw de frege groep, de ûnderhannele groep en de ynterface dy’t de ynstelling akseptearre of wegere op. Dat trijetal is wat in beoardieler nedich hat, en neat dêrfan kin út de beliedsnamme ôflaat wurde.