Windows VPN Group24 बनाम MODP3072: आपको कौन-सा समूह चाहिए?
समूह संख्याएँ रजिस्ट्री प्रविष्टियाँ हैं, आकार के अनुसार कोई श्रेणी नहीं। नाम को उसके पैरामीटर से जोड़ें, फिर जाँचें कि Windows पैरामीटर किन समूहों को व्यक्त कर सकता है।
Group24 और MODP3072 दोनों कुंजी-विनिमय समूह के नाम हैं, और ये अलग-अलग शक्ति वाला एक ही समूह नहीं हैं। Group24 2048-बिट मापांक को 256-बिट अभाज्य-क्रम उपसमूह के साथ जोड़ता है, जबकि MODP3072 3072-बिट वाला समूह 15 है। जब दूसरा निर्दिष्ट हो तो एक चुनना आवश्यकता को पूरा करने के बजाय उसे बदल देता है। परिणाम चार बातें तय करती हैं, और उनमें से किसी के लिए भी मिलते-जुलते नाम पर भरोसा करने की जरूरत नहीं है।
संख्या रजिस्ट्री प्रविष्टि है, कोई श्रेणी नहीं
IANA कुंजी-विनिमय समूहों को उनके पंजीकरण के क्रम में संख्या देता है, इसलिए बड़ी संख्या बाद की रजिस्ट्री प्रविष्टि दर्शाती है, अधिक मजबूत समूह नहीं। समूह 14 2048-बिट MODP है, समूह 15 3072-बिट MODP है, और समूह 24 2048-बिट मापांक को 256-बिट अभाज्य-क्रम उपसमूह के साथ जोड़ता है। पहचानकर्ता को आकार-श्रेणी के रूप में पढ़ना ठीक वही गलती पैदा करता है कि 24 को 15 से बड़ा मान लिया जाए। नाम एक लेबल है, और उसके पीछे के पैरामीटर वही हैं जो वास्तव में वार्ता उपयोग करती है।
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
दीर्घवृत्तीय वक्र समूह अपनी अलग उलझन जोड़ते हैं, क्योंकि वक्र की बिट-संख्या किसी क्षेत्र का वर्णन करती है, मापांक का नहीं। P-384 की तुलना 3072-बिट परिमित-क्षेत्र समूह से करना, मानो संख्याएँ एक ही चीज माप रही हों, आपको कुछ नहीं बताता।
Windows की गणना क्या व्यक्त कर सकती है
IKE रजिस्ट्री और Windows क्लाइंट पैरामीटर अलग-अलग शब्दावली वाले अलग इंटरफेस हैं। Microsoft का VpnClient cmdlet संदर्भ बताता है कि DHGroup None, Group1, Group2, Group14, ECP256, ECP384 और Group24 स्वीकार करता है। Group15 उस प्रलेखित समुच्चय में नहीं आता, जिसका अर्थ है कि पैरामीटर वह समूह व्यक्त नहीं कर सकता जो आपसे माँगा गया है। यह इंटरफेस की सीमा है, प्रोटोकॉल किन समूहों का समर्थन करता है इसका कथन नहीं।
सूची में न होने वाली वर्तनी, कोई पूर्णांक या कॉपी किया गया नीति स्ट्रिंग देना गणना का विस्तार नहीं करता। जिस Windows संस्करण को आप वास्तव में तैनात करते हैं उसके लिए संदर्भ देखें, और यदि समूह उपलब्ध नहीं है, तो ईमानदार परिणाम कोई अन्य अनुमोदित नीति या कोई अन्य क्लाइंट है।
DHGroup, PfsGroup और प्रमाणपत्र प्रकार को अलग रखें
DHGroup IKE कुंजी-विनिमय के लिए समूह चुनता है, और PfsGroup उसके बाद आने वाले संरक्षित-ट्रैफ़िक सहयोगों के लिए अग्रगामी गोपनीयता नियंत्रित करता है। ये अलग फ़ील्ड हैं, इसलिए एक को सही सेट करना दूसरे के बारे में कुछ नहीं कहता। प्रमाणपत्र की RSA या ECDSA कुंजी तीसरा गुण है, और वह प्रमाणीकरण से जुड़ी है, क्षणिक विनिमय से नहीं। इसलिए एक प्रोफ़ाइल एक परत में सही और दूसरी में गलत हो सकती है, और सफल कनेक्शन यह नहीं बताएगा कि कौन-सी।
जिन रिपोर्टों के अनुसार किसी विशेष प्रमाणपत्र प्रकार ने हर IKEv2 कनेक्शन पर ECP समूह थोप दिया, वे सेटिंग्स का एक संयोजन बताती हैं। वे प्रोटोकॉल का नियम स्थापित नहीं करतीं, और उन्हें नियम मानना वही तरीका है जिससे स्थानीय विचित्रता नीति बन जाती है।
उस समूह को पढ़ें जिस पर गेटवे ने बातचीत की
VpnClient मॉड्यूल Set-VpnConnectionIPsecConfiguration को केवल-लेखन इंटरफेस के रूप में देता है, और होस्ट पर वह नीति वापस पढ़ने वाला कोई मेल खाता Get- cmdlet नहीं है। जो DHGroup और PfsGroup मान आपने लागू किए उन्हें दर्ज करें, फिर गेटवे पर पढ़ें कि विनिमय ने वास्तव में क्या इस्तेमाल किया। कमांड नए कनेक्शन के बाद चलाएँ, पुराने सहयोग का पुनः उपयोग करने वाले पुनः कनेक्शन के बाद नहीं।
swanctl --list-sas
ipsec statusallGroup24 बताने वाली प्रोफ़ाइल जब गेटवे modp2048s256 बताता है तो सुसंगत है, क्योंकि ये दो शब्दावलियों में एक ही समूह हैं। गेटवे modp3072 बताए और प्रोफ़ाइल Group24 कहे तो यह सुसंगत नहीं है, और एक सिरा वह लागू नहीं कर रहा जो आप मानते हैं। प्रमाणपत्र की पंक्ति अलग प्रमाणीकरण प्रश्न का उत्तर देती है, और PFS फ़ील्ड तीसरे का। अनुपालन नोट लिखने से पहले तीनों की तुलना करें।
माँगा गया समूह, वार्ता में तय समूह और वह इंटरफेस जिसने सेटिंग स्वीकार या अस्वीकार की, दर्ज करें। यही त्रिक समीक्षक को चाहिए, और इसका कुछ भी नीति के नाम से अनुमानित नहीं किया जा सकता।