Windows VPN Group24 ընդդեմ MODP3072-ի. ի՞նչ խումբ է ձեզ պետք
Խմբերի համարները գրանցամատյանի մուտքեր են, ոչ թե չափի աստիճանկարգ։ Կապեք անունը նրա պարամետրերին, ապա ստուգեք, թե որ խմբերը կարող է արտահայտել Windows-ի պարամետրը։
Group24-ը և MODP3072-ը բանալիների փոխանակման խմբի երկու անուններ են, և դրանք տարբեր ուժգնության նույն խումբը չեն։ Group24-ը միավորում է 2048 բիթանոց մոդուլը 256 բիթանոց պարզ կարգի ենթախմբի հետ, մինչդեռ MODP3072-ը 3072 բիթանոց 15-րդ խումբն է։ Երբ նշված էր մյուսը, մեկի ընտրությունը փոխում է պահանջը՝ այն բավարարելու փոխարեն։ Արդյունքը որոշում են չորս բան, և դրանցից ոչ մեկը չի պահանջում վստահել նմանատիպ թվացող անվանը։
Թիվը գրանցամատյանի մուտք է, ոչ աստիճան
IANA-ն բանալիների փոխանակման խմբերը համարակալում է գրանցման հերթականությամբ, ուստի ավելի մեծ թիվը նշանակում է ավելի ուշ գրանցամատյանի մուտք, այլ ոչ ավելի ուժեղ խումբ։ 14-րդ խումբը 2048 բիթանոց MODP է, 15-րդ խումբը՝ 3072 բիթանոց MODP, իսկ 24-րդ խումբը միավորում է 2048 բիթանոց մոդուլը 256 բիթանոց պարզ կարգի ենթախմբի հետ։ Նույնացուցիչը որպես չափի աստիճանկարգ կարդալը ստեղծում է հենց այն սխալը, երբ 24-ը համարվում է 15-ից մեծ։ Անունը պիտակ է, և դրա հետևում եղած պարամետրերն են, ինչն իրականում օգտագործում է բանակցությունը։
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Էլիպտիկ կորերի խմբերն ավելացնում են իրենց սեփական շփոթությունը, քանի որ կորի բիթերի քանակը նկարագրում է դաշտ, ոչ թե մոդուլ։ P-384-ը 3072 բիթանոց վերջավոր դաշտի խմբի հետ համեմատելը, կարծես թվերը մեկ բան են չափում, ձեզ ոչինչ չի ասում։
Ինչ կարող է արտահայտել Windows-ի թվարկումը
IKE գրանցամատյանը և Windows-ի հաճախորդի պարամետրը տարբեր բառապաշարներով տարբեր ինտերֆեյսներ են։ Microsoft-ի VpnClient cmdlet-ի տեղեկանքը փաստաթղթավորում է, որ DHGroup-ը ընդունում է None, Group1, Group2, Group14, ECP256, ECP384 և Group24 արժեքները։ Group15-ը այդ փաստաթղթավորված բազմության մեջ չի երևում, ինչը նշանակում է, որ պարամետրը չի կարող արտահայտել ձեզնից պահանջված խումբը։ Սա ինտերֆեյսի սահմանափակում է, ոչ թե պնդում այն մասին, թե որ խմբերին է աջակցում արձանագրությունը։
Չթվարկված ուղղագրության, ամբողջ թվի կամ պատճենված քաղաքականության տողի տրամադրումը չի ընդլայնում թվարկումը։ Ստուգեք տեղեկանքը ձեր իրականում տեղակայվող Windows տարբերակի համար, և եթե խումբը հասանելի չէ, ազնիվ արդյունքը այլ հաստատված քաղաքականություն կամ այլ հաճախորդ է։
Առանձնացրեք DHGroup-ը, PfsGroup-ը և վկայագրի տեսակը
DHGroup-ը ընտրում է խումբը IKE բանալիների փոխանակման համար, իսկ PfsGroup-ը կառավարում է առաջադիմական գաղտնիությունը հաջորդող պաշտպանված երթևեկության ասոցիացիաների համար։ Դրանք առանձին դաշտեր են, ուստի մեկի ճիշտ կարգավորումը ոչինչ չի ասում մյուսի մասին։ Վկայագրի RSA կամ ECDSA բանալին երրորդ հատկությունն է և պատկանում է նույնականացմանը, ոչ թե էֆեմեր փոխանակմանը։ Այսպիսով՝ մեկ պրոֆիլը կարող է մի շերտում ճիշտ և մյուսում սխալ լինել, և հաջող կապը չի բացահայտի, թե որում։
Այն հաղորդումները, որ որոշակի վկայագրի տեսակը պարտադրել է ECP խումբ յուրաքանչյուր IKEv2 կապում, նկարագրում են կարգավորումների մեկ համակցություն։ Դրանք արձանագրության կանոն չեն հաստատում, և դրանք որպես կանոն դիտարկելը հենց այն ճանապարհն է, որով տեղական տարօրինակությունը դառնում է քաղաքականություն։
Կարդացեք այն խումբը, որի շուրջ բանակցել է դարպասը
VpnClient մոդուլը Set-VpnConnectionIPsecConfiguration-ը առաջարկում է որպես միայն գրելու ինտերֆեյս, և հոսթում այդ քաղաքականությունը հետ կարդացող համապատասխան Get- cmdlet չկա։ Գրանցեք ձեր կիրառած DHGroup և PfsGroup արժեքները, ապա դարպասից կարդացեք, թե փոխանակությունն իրականում ինչ է օգտագործել։ Հրամանները գործարկեք թարմ կապից հետո, այլ ոչ թե հին ասոցիացիան վերօգտագործած վերակապակցումից հետո։
swanctl --list-sas
ipsec statusallՊրոֆիլը, որը հաղորդում է Group24, մինչ դարպասը հաղորդում է modp2048s256, համահունչ է, քանի որ դրանք նույն խումբն են երկու բառապաշարով։ Դարպասը, որը հաղորդում է modp3072, մինչ պրոֆիլն ասում է Group24, համահունչ չէ, և մի ծայրը չի պարտադրում այն, ինչ դուք կարծում եք։ Վկայագրի տողը պատասխանում է առանձին նույնականացման հարցին, իսկ PFS դաշտը՝ երրորդին։ Համեմատեք բոլոր երեքը նախքան համապատասխանության նշում գրելը։
Գրանցեք պահանջված խումբը, բանակցված խումբը և այն ինտերֆեյսը, որն ընդունել կամ մերժել է կարգավորումը։ Այդ եռյակն է, ինչ անհրաժեշտ է վերանայողին, և դրանից ոչինչ չի կարելի ենթադրել քաղաքականության անունից։