Windows VPN Group24 protiv MODP3072: koja grupa vam treba?
Brojevi grupa su unosi u registar, a ne poredak po veličini. Povežite naziv s njegovim parametrima, zatim provjerite koje grupe parametar sustava Windows može izraziti.
Group24 i MODP3072 oba su nazivi za grupu za razmjenu ključeva i nisu ista grupa različite jačine. Group24 kombinira modul od 2048 bitova s podgrupom prostog reda od 256 bitova, dok je MODP3072 grupa 15 od 3072 bita. Odabir jedne kad je druga navedena mijenja zahtjev umjesto da ga ispuni. Ishod određuju četiri stvari i nijedna od njih ne zahtijeva povjerenje u naziv koji izgleda slično.
Broj je unos u registar, a ne rang
IANA numerira grupe za razmjenu ključeva redom kojim su registrirane, pa veći broj znači kasniji unos u registar, a ne jaču grupu. Grupa 14 je MODP od 2048 bitova, grupa 15 je MODP od 3072 bita, a grupa 24 kombinira modul od 2048 bitova s podgrupom prostog reda od 256 bitova. Čitanje identifikatora kao poretka po veličini proizvodi upravo pogrešku da se 24 smatra većim od 15. Naziv je oznaka, a parametri iza njega su ono što pregovaranje zapravo koristi.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupe na eliptičnim krivuljama dodaju vlastitu zbrku, jer broj bitova krivulje opisuje polje, a ne modul. Usporedba P-384 s grupom konačnog polja od 3072 bita kao da brojevi mjere istu stvar ne govori vam ništa.
Što enumeracija sustava Windows može izraziti
Registar IKE i parametar klijenta sustava Windows različita su sučelja s različitim rječnicima. Microsoftova referenca za cmdlet VpnClient dokumentira da DHGroup prihvaća None, Group1, Group2, Group14, ECP256, ECP384 i Group24. Group15 se ne pojavljuje u tom dokumentiranom skupu, što znači da parametar ne može izraziti grupu koja je od vas zatražena. To je ograničenje sučelja, a ne tvrdnja o tome koje grupe protokol podržava.
Navođenje nenavedenog pravopisa, cijelog broja ili kopiranog niza pravila ne proširuje enumeraciju. Provjerite referencu za verziju sustava Windows koju zaista primjenjujete, a ako grupa nije dostupna, iskren ishod je druga odobrena politika ili drugi klijent.
Držite DHGroup, PfsGroup i vrstu certifikata odvojeno
DHGroup bira grupu za IKE razmjenu ključeva, a PfsGroup upravlja tajnošću unaprijed za asocijacije zaštićenog prometa koje slijede. To su odvojena polja, pa ispravno postavljanje jednog ne govori ništa o drugom. RSA ili ECDSA ključ certifikata treće je svojstvo i pripada autentifikaciji, a ne efemernoj razmjeni. Jedan profil stoga može biti ispravan u jednom sloju i pogrešan u drugom, a uspješna veza neće otkriti u kojem.
Izvještaji da je određena vrsta certifikata nametnula ECP grupu na svakoj IKEv2 vezi opisuju jednu kombinaciju postavki. Oni ne utvrđuju pravilo protokola, a tretiranje kao pravila je način na koji lokalna posebnost postaje politika.
Pročitajte grupu o kojoj je pregovarao pristupnik
Modul VpnClient nudi Set-VpnConnectionIPsecConfiguration kao sučelje samo za upis, a nema odgovarajućeg Get- cmdleta koji tu politiku čita natrag na hostu. Zabilježite vrijednosti DHGroup i PfsGroup koje ste primijenili, pa pročitajte na pristupniku što je razmjena zaista koristila. Pokrenite naredbe nakon nove veze, a ne nakon ponovnog povezivanja koje je iskoristilo staru asocijaciju.
swanctl --list-sas
ipsec statusallProfil koji prijavljuje Group24 dok pristupnik prijavljuje modp2048s256 je konzistentan, jer je to ista grupa pod dva rječnika. Pristupnik koji prijavljuje modp3072 dok profil kaže Group24 nije konzistentan i jedan kraj ne provodi ono što vi mislite. Redak certifikata odgovara na odvojeno pitanje autentifikacije, a polje PFS na treće. Usporedite sva tri prije nego što napišete napomenu o usklađenosti.
Zabilježite zatraženu grupu, pregovaranu grupu i sučelje koje je postavku prihvatilo ili odbilo. Taj trio je ono što recenzentu treba i ništa od toga ne može se zaključiti iz naziva politike.