Windows VPN Group24 vs MODP3072: grup mana yang Anda butuhkan?
Nomor grup adalah entri registri, bukan peringkat berdasarkan ukuran. Petakan nama ke parameternya, lalu periksa grup mana yang dapat dinyatakan parameter Windows.
Group24 dan MODP3072 keduanya adalah nama untuk grup pertukaran kunci, dan keduanya bukan grup yang sama pada kekuatan berbeda. Group24 menggabungkan modulus 2048 bit dengan subgrup berorde prima 256 bit, sedangkan MODP3072 adalah grup 15 berukuran 3072 bit. Memilih salah satunya ketika yang lain yang ditentukan mengubah persyaratan alih-alih memenuhinya. Empat hal menentukan hasilnya, dan tidak satu pun menuntut mempercayai nama yang tampak serupa.
Nomornya adalah entri registri, bukan peringkat
IANA menomori grup pertukaran kunci sesuai urutan pendaftarannya, jadi nomor yang lebih besar berarti entri registri yang lebih baru, bukan grup yang lebih kuat. Grup 14 adalah MODP 2048 bit, grup 15 adalah MODP 3072 bit, dan grup 24 menggabungkan modulus 2048 bit dengan subgrup berorde prima 256 bit. Membaca pengenal sebagai peringkat ukuran menghasilkan persis kesalahan menganggap 24 lebih besar daripada 15. Nama hanyalah label, dan parameter di baliknya adalah yang benar-benar dipakai perundingan.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grup kurva eliptik menambahkan kebingungannya sendiri, karena jumlah bit kurva menggambarkan medan dan bukan modulus. Membandingkan P-384 dengan grup medan berhingga 3072 bit seolah angka-angka itu mengukur hal yang sama tidak memberi tahu Anda apa pun.
Apa yang dapat dinyatakan enumerasi Windows
Registri IKE dan parameter klien Windows adalah antarmuka berbeda dengan kosakata berbeda. Referensi cmdlet VpnClient dari Microsoft mendokumentasikan bahwa DHGroup menerima None, Group1, Group2, Group14, ECP256, ECP384, dan Group24. Group15 tidak muncul dalam himpunan terdokumentasi itu, yang berarti parameter tidak dapat menyatakan grup yang diminta dari Anda. Ini batasan antarmuka, bukan pernyataan tentang grup mana yang didukung protokol.
Memberikan ejaan yang tidak terdaftar, bilangan bulat, atau string kebijakan hasil salinan tidak memperluas enumerasi. Periksa referensi untuk versi Windows yang benar-benar Anda terapkan, dan jika grup tidak tersedia, hasil yang jujur adalah kebijakan yang disetujui lain atau klien lain.
Pisahkan DHGroup, PfsGroup, dan tipe sertifikat
DHGroup memilih grup untuk pertukaran kunci IKE, dan PfsGroup mengatur kerahasiaan ke depan untuk asosiasi lalu lintas terlindung yang menyusul. Keduanya bidang terpisah, jadi menyetel satu dengan benar tidak mengatakan apa pun tentang yang lain. Kunci RSA atau ECDSA sertifikat adalah properti ketiga, dan termasuk autentikasi bukan pertukaran efemeral. Satu profil karena itu bisa benar di satu lapisan dan salah di lapisan lain, dan koneksi yang berhasil tidak akan mengungkapkan yang mana.
Laporan bahwa tipe sertifikat tertentu memaksakan grup ECP pada setiap koneksi IKEv2 menggambarkan satu kombinasi pengaturan. Laporan itu tidak menetapkan aturan protokol, dan memperlakukannya sebagai aturan adalah cara keanehan lokal menjadi kebijakan.
Baca grup yang dinegosiasikan gateway
Modul VpnClient menawarkan Set-VpnConnectionIPsecConfiguration sebagai antarmuka hanya-tulis, dan tidak ada Get- cmdlet yang cocok untuk membaca kembali kebijakan itu di host. Catat nilai DHGroup dan PfsGroup yang Anda terapkan, lalu baca di gateway apa yang sebenarnya dipakai pertukaran. Jalankan perintah setelah koneksi baru, bukan setelah penyambungan ulang yang memakai kembali asosiasi lama.
swanctl --list-sas
ipsec statusallProfil yang melaporkan Group24 sementara gateway melaporkan modp2048s256 konsisten, karena keduanya grup yang sama dalam dua kosakata. Gateway yang melaporkan modp3072 sementara profil menyebut Group24 tidak konsisten, dan salah satu ujung tidak menegakkan apa yang Anda yakini. Baris sertifikat menjawab pertanyaan autentikasi yang terpisah, dan bidang PFS menjawab yang ketiga. Bandingkan ketiganya sebelum menulis catatan kepatuhan.
Catat grup yang diminta, grup yang dinegosiasikan, dan antarmuka yang menerima atau menolak pengaturan itu. Trio itulah yang dibutuhkan peninjau, dan tidak satu pun dapat disimpulkan dari nama kebijakan.