Windows VPN Group24 vs MODP3072: melyik csoportra van szüksége?
A csoportszámok nyilvántartási bejegyzések, nem méret szerinti rangsor. Rendelje a nevet a paramétereihez, majd ellenőrizze, mely csoportokat tud kifejezni a Windows-paraméter.
A Group24 és a MODP3072 ugyanannak a kulcscsere-csoportnak két neve, és nem ugyanaz a csoport eltérő erősséggel. A Group24 2048 bites modulust kombinál 256 bites prímrendű alcsoporttal, míg a MODP3072 a 3072 bites 15-ös csoport. Ha az egyiket választja, amikor a másikat írták elő, az a követelményt változtatja meg a teljesítése helyett. Négy dolog dönti el az eredményt, és egyik sem igényli, hogy megbízzon egy hasonlónak tűnő névben.
A szám nyilvántartási bejegyzés, nem rang
Az IANA a kulcscsere-csoportokat a bejegyzésük sorrendjében számozza, tehát a nagyobb szám későbbi nyilvántartási bejegyzést jelent, nem erősebb csoportot. A 14-es csoport 2048 bites MODP, a 15-ös csoport 3072 bites MODP, a 24-es csoport pedig 2048 bites modulust kombinál 256 bites prímrendű alcsoporttal. Az azonosító méret szerinti rangsorként való olvasása pontosan azt a hibát hozza létre, hogy a 24-et nagyobbnak tekintjük a 15-nél. A név címke, és a mögötte álló paraméterek azok, amelyeket a tárgyalás valóban használ.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Az elliptikus görbés csoportok a saját zavarukat hozzák, mert egy görbe bitszáma mezőt ír le, nem modulust. A P-384 összehasonlítása egy 3072 bites véges testű csoporttal, mintha a számok ugyanazt mérnék, semmit nem mond önnek.
Mit tud kifejezni a Windows felsorolása
Az IKE-nyilvántartás és a Windows ügyfélparamétere különböző felületek, különböző szókészlettel. A Microsoft VpnClient parancsmag-referenciája dokumentálja, hogy a DHGroup a None, Group1, Group2, Group14, ECP256, ECP384 és Group24 értékeket fogadja el. A Group15 nem szerepel ebben a dokumentált halmazban, ami azt jelenti, hogy a paraméter nem tudja kifejezni a kért csoportot. Ez a felület korlátja, nem állítás arról, hogy a protokoll mely csoportokat támogatja.
Egy fel nem sorolt írásmód, egy egész szám vagy egy másolt házirend-karakterlánc megadása nem bővíti a felsorolást. Ellenőrizze a referenciát arra a Windows-verzióra, amelyet ténylegesen telepít, és ha a csoport nem elérhető, a tisztességes eredmény egy másik jóváhagyott házirend vagy egy másik ügyfél.
Tartsa külön a DHGroup, a PfsGroup és a tanúsítványtípus fogalmát
A DHGroup az IKE-kulcscseréhez választ csoportot, a PfsGroup pedig a következő védett forgalmi társítások előremutató titkosságát szabályozza. Külön mezők, ezért az egyik helyes beállítása semmit nem mond a másikról. A tanúsítvány RSA- vagy ECDSA-kulcsa harmadik tulajdonság, és a hitelesítéshez tartozik, nem az efemer cseréhez. Egyetlen profil tehát lehet az egyik rétegben helyes és a másikban hibás, és egy sikeres kapcsolat nem árulja el, melyikben.
Azok a jelentések, amelyek szerint egy adott tanúsítványtípus minden IKEv2-kapcsolaton ECP-csoportot kényszerített ki, egyetlen beállításkombinációt írnak le. Nem állítanak fel a protokoll szabályát, és ezek szabályként kezelése az az út, amelyen egy helyi furcsaságból házirend lesz.
Olvassa ki a csoportot, amelyről az átjáró tárgyalt
A VpnClient modul a Set-VpnConnectionIPsecConfiguration parancsmagot csak írásra szolgáló felületként kínálja, és nincs megfelelő Get- parancsmag, amely ezt a házirendet visszaolvasná a gazdagépen. Jegyezze fel az alkalmazott DHGroup és PfsGroup értékeket, majd olvassa ki az átjárón, hogy a csere valójában mit használt. A parancsokat friss kapcsolat után futtassa, ne egy olyan újracsatlakozás után, amely egy régi társítást használt újra.
swanctl --list-sas
ipsec statusallAz a profil, amely Group24-et jelent, miközben az átjáró modp2048s256-ot jelent, konzisztens, mivel ugyanaz a csoport két szókészlettel. Az az átjáró, amely modp3072-ot jelent, miközben a profil Group24-et mond, nem konzisztens, és az egyik végpont nem azt érvényesíti, amit ön hisz. A tanúsítvány sora a külön hitelesítési kérdésre válaszol, a PFS-mező pedig a harmadikra. Hasonlítsa össze mindhármat, mielőtt megfelelőségi feljegyzést ír.
Jegyezze fel a kért csoportot, a tárgyalt csoportot és azt a felületet, amely elfogadta vagy elutasította a beállítást. Ez a hármas az, amire egy bírálónak szüksége van, és ebből semmi nem következtethető ki a házirend nevéből.