Windows VPN Group24 vs MODP3072: hvaða hóp þarftu?
Hópnúmer eru færslur í skrá, ekki röðun eftir stærð. Tengdu nafnið við færibreytur þess og athugaðu síðan hvaða hópa Windows-færibreytan getur lýst.
Group24 og MODP3072 eru bæði nöfn á lyklaskiptahóp, og þau eru ekki sami hópurinn með mismunandi styrk. Group24 sameinar 2048 bita stuðul með 256 bita undirhópi af frumtöluröð, en MODP3072 er 3072 bita hópur 15. Að velja annan þegar hinn var tilgreindur breytir kröfunni í stað þess að uppfylla hana. Fjórir hlutir ráða niðurstöðunni, og enginn þeirra krefst þess að treysta nafni sem lítur svipað út.
Númerið er færsla í skrá, ekki röðun
IANA númerar lyklaskiptahópa í þeirri röð sem þeir voru skráðir, svo hærra númer þýðir síðari færsla í skrá en ekki sterkari hópur. Hópur 14 er 2048 bita MODP, hópur 15 er 3072 bita MODP, og hópur 24 sameinar 2048 bita stuðul með 256 bita undirhópi af frumtöluröð. Að lesa auðkennið sem stærðarröðun framkallar nákvæmlega villuna að líta á 24 sem stærri 15. Nafnið er merki, og færibreyturnar að baki eru það sem samningaviðræðurnar nota í raun.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Hópar á sporöskjulaga ferlum bæta við eigin ruglingi, því bitatalning ferils lýsir sviði en ekki stuðli. Að bera P-384 saman við 3072 bita endanlegt sviðshóp eins og tölurnar mældu sama hlutinn segir þér ekkert.
Hvað Windows-talningin getur lýst
IKE-skráin og Windows-biðlarafæribreytan eru mismunandi viðmót með mismunandi orðaforða. VpnClient-cmdlet-tilvísun Microsoft skjalfestir að DHGroup þiggur None, Group1, Group2, Group14, ECP256, ECP384 og Group24. Group15 kemur ekki fram í þessu skjalfesta mengi, sem þýðir að færibreytan getur ekki lýst hópnum sem beðið var um. Þetta er takmörkun viðmótsins en ekki fullyrðing um hvaða hópa samskiptareglurnar styðja.
Að gefa óskráða stafsetningu, heiltölu eða afritað stefnustreng eykur ekki talninguna. Athugaðu tilvísunina fyrir þá Windows-útgáfu sem þú notar í raun, og ef hópurinn er ekki tiltækur er heiðarleg niðurstaða önnur samþykkt stefna eða annar biðlari.
Haltu DHGroup, PfsGroup og skírteinistegund aðskildum
DHGroup velur hópinn fyrir IKE-lyklaskiptin, og PfsGroup stýrir framsekni leynd fyrir samtökin um verndaða umferð sem fylgja. Þetta eru aðskilin svið, svo rétt stilling á einu segir ekkert um hitt. RSA- eða ECDSA-lykill skírteinisins er þriðja eiginleiki og tilheyrir auðkenningu en ekki skammtíma skiptunum. Eitt prófíll getur því verið rétt í einu lagi og rangt í öðru, og vel heppnuð tenging mun ekki afhjúpa hvor.
Skýrslur um að tiltekin skírteinistegund hafi þvingað ECP-hóp á hverja IKEv2-tengingu lýsa einni samsetningu stillinga. Þær festa ekki reglu í samskiptareglunum, og að meðhöndla þær sem reglu er leiðin sem staðbundin sérstaða verður að stefnu.
Lestu hópinn sem gáttin samdi um
VpnClient-einingin býður Set-VpnConnectionIPsecConfiguration sem viðmót sem aðeins er skrifað í, og ekkert samsvarandi Get- cmdlet les þá stefnu aftur á hýsilinn. Skráðu DHGroup og PfsGroup gildin sem þú settir og lestu síðan á gáttinni hvað skiptin notuðu í raun. Keyrðu skipanirnar eftir nýja tengingu en ekki eftir endurtengingu sem notaði gamalt samtak aftur.
swanctl --list-sas
ipsec statusallPrófíll sem tilkynnir Group24 á meðan gáttin tilkynnir modp2048s256 er samkvæmur, þar sem þetta er sami hópurinn í tveimur orðaforðum. Gátt sem tilkynnir modp3072 á meðan prófíllinn segir Group24 er ekki samkvæm, og annar endinn framfylgir ekki því sem þú telur. Skírteinislínan svarar aðskildu auðkenningarspurningunni, og PFS-sviðið svarar þriðju. Berðu saman öll þrjú áður en þú skrifar samræmisathugasemd.
Skráðu umbeðna hópinn, samningshópinn og viðmótið sem tók stillinguna eða hafnaði henni. Þessi þrenning er það sem ritstjóri þarf, og ekkert af því er hægt að álykta af stefnuheitinu.