Windows VPN Group24 vs MODP3072: તમને કયો સમૂહ જોઈએ છે?
સમૂહ નંબરો રજિસ્ટ્રી એન્ટ્રીઓ છે, કદ પ્રમાણેનું ક્રમાંકન નહીં. નામને તેના પરિમાણો સાથે જોડો, પછી તપાસો કે Windows પરિમાણ કયા સમૂહોને વ્યક્ત કરી શકે છે.
Group24 અને MODP3072 બંને કી-એક્સચેન્જ સમૂહના નામ છે, અને તે જુદી જુદી શક્તિવાળો એક જ સમૂહ નથી. Group24 2048-બિટ મોડ્યુલસને 256-બિટ પ્રાઇમ-ઓર્ડર સબગ્રુપ સાથે જોડે છે, જ્યારે MODP3072 એ 3072-બિટનો સમૂહ 15 છે. બીજો નિર્દિષ્ટ હોય ત્યારે એક પસંદ કરવો તે આવશ્યકતાને પૂરી કરવાને બદલે બદલી નાખે છે. પરિણામ ચાર વસ્તુઓ નક્કી કરે છે, અને તેમાંથી કોઈને પણ સમાન દેખાતા નામ પર ભરોસો કરવાની જરૂર નથી.
નંબર રજિસ્ટ્રી એન્ટ્રી છે, ક્રમ નહીં
IANA કી-એક્સચેન્જ સમૂહોને તેમના નોંધણીના ક્રમમાં નંબર આપે છે, તેથી મોટો નંબર પછીની રજિસ્ટ્રી એન્ટ્રી દર્શાવે છે, વધુ મજબૂત સમૂહ નહીં. સમૂહ 14 એ 2048-બિટ MODP છે, સમૂહ 15 એ 3072-બિટ MODP છે, અને સમૂહ 24 2048-બિટ મોડ્યુલસને 256-બિટ પ્રાઇમ-ઓર્ડર સબગ્રુપ સાથે જોડે છે. ઓળખકર્તાને કદ-ક્રમાંકન તરીકે વાંચવાથી 24ને 15 કરતાં મોટું ગણવાની બરાબર એ જ ભૂલ થાય છે. નામ એક લેબલ છે, અને તેની પાછળના પરિમાણો એ છે જે વાટાઘાટ ખરેખર વાપરે છે.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
લંબગોળ વક્ર સમૂહો પોતાની મૂંઝવણ ઉમેરે છે, કારણ કે વક્રની બિટ-સંખ્યા ક્ષેત્રનું વર્ણન કરે છે, મોડ્યુલસનું નહીં. P-384ની 3072-બિટ મર્યાદિત-ક્ષેત્ર સમૂહ સાથે સરખામણી કરવી, જાણે સંખ્યાઓ એક જ વસ્તુ માપતી હોય, તમને કંઈ કહેતી નથી.
Windows ગણતરી શું વ્યક્ત કરી શકે
IKE રજિસ્ટ્રી અને Windows ક્લાયન્ટ પરિમાણ જુદી જુદી શબ્દાવલી ધરાવતા જુદા ઇન્ટરફેસ છે. Microsoftનું VpnClient cmdlet સંદર્ભ દસ્તાવેજીકરણ કરે છે કે DHGroup None, Group1, Group2, Group14, ECP256, ECP384 અને Group24 સ્વીકારે છે. Group15 તે દસ્તાવેજીકૃત સમૂહમાં દેખાતું નથી, એટલે કે પરિમાણ તમને પૂછાયેલા સમૂહને વ્યક્ત કરી શકતું નથી. આ ઇન્ટરફેસની મર્યાદા છે, પ્રોટોકોલ કયા સમૂહોને સમર્થન આપે છે તે અંગેનું નિવેદન નહીં.
યાદીમાં ન હોય તેવી જોડણી, પૂર્ણાંક અથવા નકલ કરેલી નીતિ શબ્દમાળા આપવાથી ગણતરી વિસ્તરતી નથી. તમે ખરેખર ઉપયોગમાં લેતી Windows આવૃત્તિ માટે સંદર્ભ તપાસો, અને જો સમૂહ ઉપલબ્ધ ન હોય, તો પ્રામાણિક પરિણામ બીજી મંજૂર નીતિ અથવા બીજો ક્લાયન્ટ છે.
DHGroup, PfsGroup અને પ્રમાણપત્ર પ્રકારને અલગ રાખો
DHGroup IKE કી-એક્સચેન્જ માટે સમૂહ પસંદ કરે છે, અને PfsGroup પછી આવતી સંરક્ષિત-ટ્રાફિક એસોસિએશનો માટે આગળની ગુપ્તતા સંભાળે છે. તે અલગ ફીલ્ડ છે, તેથી એકને યોગ્ય રીતે સેટ કરવાથી બીજા વિશે કંઈ કહેવાતું નથી. પ્રમાણપત્રની RSA અથવા ECDSA કી ત્રીજી ગુણધર્મ છે, અને તે પ્રમાણીકરણ સાથે સંબંધિત છે, અલ્પજીવી એક્સચેન્જ સાથે નહીં. તેથી એક પ્રોફાઇલ એક સ્તરમાં સાચી અને બીજામાં ખોટી હોઈ શકે છે, અને સફળ જોડાણ કઈ તે જાહેર કરશે નહીં.
ચોક્કસ પ્રમાણપત્ર પ્રકારે દરેક IKEv2 જોડાણ પર ECP સમૂહ ફરજિયાત કર્યો એવા અહેવાલો સેટિંગ્સના એક સંયોજનનું વર્ણન કરે છે. તે પ્રોટોકોલનો નિયમ સ્થાપિત કરતા નથી, અને તેમને નિયમ તરીકે ગણવા એ જ રીત છે જેમાં સ્થાનિક વિચિત્રતા નીતિ બની જાય છે.
ગેટવેએ વાટાઘાટ કરેલો સમૂહ વાંચો
VpnClient મોડ્યુલ Set-VpnConnectionIPsecConfiguration ને ફક્ત-લખાણ ઇન્ટરફેસ તરીકે આપે છે, અને હોસ્ટ પર તે નીતિ પાછી વાંચતું કોઈ અનુરૂપ Get- cmdlet નથી. તમે લાગુ કરેલા DHGroup અને PfsGroup મૂલ્યો નોંધો, પછી ગેટવે પરથી વાંચો કે એક્સચેન્જે ખરેખર શું વાપર્યું. આદેશો નવા જોડાણ પછી ચલાવો, જૂના એસોસિએશનનો ફરી ઉપયોગ કરનારા પુનઃજોડાણ પછી નહીં.
swanctl --list-sas
ipsec statusallGroup24 નોંધાવતી પ્રોફાઇલ જ્યારે ગેટવે modp2048s256 નોંધાવે ત્યારે સુસંગત છે, કારણ કે તે બે શબ્દાવલીમાં એક જ સમૂહ છે. ગેટવે modp3072 નોંધાવે અને પ્રોફાઇલ Group24 કહે તો તે સુસંગત નથી, અને એક છેડો તમે માનો છો તે લાગુ કરતો નથી. પ્રમાણપત્રની લાઇન અલગ પ્રમાણીકરણ પ્રશ્નનો જવાબ આપે છે, અને PFS ફીલ્ડ ત્રીજાનો. અનુપાલન નોંધ લખતા પહેલાં ત્રણેયની સરખામણી કરો.
માંગેલો સમૂહ, વાટાઘાટ કરેલો સમૂહ અને સેટિંગ સ્વીકારનાર કે નકારનાર ઇન્ટરફેસ નોંધો. એ ત્રિપુટી જ સમીક્ષકને જોઈએ છે, અને તેમાંથી કંઈ પણ નીતિના નામ પરથી અનુમાન કરી શકાતું નથી.