Windows VPN Group24 fronte a MODP3072: que grupo necesita?
Os números de grupo son entradas de rexistro, non unha clasificación por tamaño. Asocie o nome cos seus parámetros e despois comprobe que grupos pode expresar o parámetro de Windows.
Group24 e MODP3072 son ambos nomes dun grupo de intercambio de claves, e non son o mesmo grupo con forzas distintas. Group24 combina un módulo de 2048 bits cun subgrupo de orde primeira de 256 bits, mentres que MODP3072 é o grupo 15 de 3072 bits. Escoller un cando se especificara o outro cambia o requisito en lugar de cumprilo. Catro cousas deciden o resultado, e ningunha delas esixe confiar nun nome que parece similar.
O número é unha entrada de rexistro, non un rango
IANA numera os grupos de intercambio de claves na orde en que se rexistraron, así que un número maior significa unha entrada de rexistro posterior e non un grupo máis forte. O grupo 14 é MODP de 2048 bits, o grupo 15 é MODP de 3072 bits, e o grupo 24 combina un módulo de 2048 bits cun subgrupo de orde primeira de 256 bits. Ler o identificador como unha clasificación por tamaño produce exactamente o erro de tratar 24 como un 15 máis grande. O nome é unha etiqueta, e os parámetros detrás son o que a negociación usa realmente.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Os grupos de curva elíptica engaden a súa propia confusión, porque o número de bits dunha curva describe un corpo e non un módulo. Comparar P-384 cun grupo de corpo finito de 3072 bits coma se os números medisen unha soa cousa non lle di nada.
O que pode expresar a enumeración de Windows
O rexistro IKE e o parámetro de cliente de Windows son interfaces distintas con vocabularios distintos. A referencia do cmdlet VpnClient de Microsoft documenta que DHGroup acepta None, Group1, Group2, Group14, ECP256, ECP384 e Group24. Group15 non aparece nese conxunto documentado, o que significa que o parámetro non pode expresar o grupo que se lle pediu. É unha limitación da interface e non unha afirmación sobre que grupos admite o protocolo.
Proporcionar unha grafía non listada, un enteiro ou unha cadea de política copiada non amplía a enumeración. Consulte a referencia para a versión de Windows que despregue realmente e, se o grupo non está dispoñible, o resultado honesto é outra política aprobada ou outro cliente.
Manteña DHGroup, PfsGroup e o tipo de certificado separados
DHGroup selecciona o grupo para o intercambio de claves IKE, e PfsGroup goberna o segredo cara adiante das asociacións de tráfico protexido que seguen. Son campos separados, así que configurar un correctamente non di nada do outro. A clave RSA ou ECDSA do certificado é unha terceira propiedade e pertence á autenticación, non ao intercambio efémero. Un só perfil pode, polo tanto, ser correcto nunha capa e incorrecto noutra, e unha conexión correcta non revelará en cal.
Os informes de que un tipo de certificado concreto forzou un grupo ECP en todas as conexións IKEv2 describen unha combinación de axustes. Non establecen unha regra do protocolo, e tratalos como unha regra é a forma en que unha peculiaridade local se converte en política.
Lea o grupo que negociou a pasarela
O módulo VpnClient ofrece Set-VpnConnectionIPsecConfiguration como interface só de escritura, e ningún Get- cmdlet correspondente volve ler esa política no host. Anote os valores de DHGroup e PfsGroup que aplicou e despois lea na pasarela que usou realmente o intercambio. Execute os comandos tras unha conexión nova e non tras unha reconexión que reutilizou unha asociación antiga.
swanctl --list-sas
ipsec statusallUn perfil que informa de Group24 mentres a pasarela informa de modp2048s256 é coherente, xa que son o mesmo grupo con dous vocabularios. Unha pasarela que informa de modp3072 mentres o perfil di Group24 non é coherente, e un extremo non aplica o que vostede cre. A liña do certificado responde á pregunta separada de autenticación, e o campo PFS á terceira. Compare as tres antes de escribir unha nota de cumprimento.
Anote o grupo solicitado, o grupo negociado e a interface que aceptou ou rexeitou o axuste. Ese trío é o que necesita un revisor, e nada diso pode deducirse do nome da política.