Windows VPN Group24 o MODP3072: quale gruppo serve?
I numeri di gruppo sono voci di registro, non una classifica per dimensione. Associate il nome ai suoi parametri, poi verificate quali gruppi il parametro Windows può esprimere.
Group24 e MODP3072 sono entrambi nomi di un gruppo di scambio chiavi, e non sono lo stesso gruppo a forze diverse. Group24 combina un modulo di 2048 bit con un sottogruppo di ordine primo di 256 bit, mentre MODP3072 è il gruppo 15 di 3072 bit. Scegliere l’uno quando era specificato l’altro cambia il requisito invece di soddisfarlo. Quattro cose decidono l’esito, e nessuna richiede di fidarsi di un nome che sembra simile.
Il numero è una voce di registro, non un rango
L’IANA numera i gruppi di scambio chiavi nell’ordine in cui sono stati registrati, quindi un numero più alto indica una voce di registro successiva e non un gruppo più forte. Il gruppo 14 è MODP da 2048 bit, il gruppo 15 è MODP da 3072 bit, e il gruppo 24 combina un modulo di 2048 bit con un sottogruppo di ordine primo di 256 bit. Leggere l’identificatore come una classifica per dimensione produce esattamente l’errore di trattare 24 come un 15 più grande. Il nome è un’etichetta, e i parametri dietro sono ciò che la negoziazione usa realmente.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
I gruppi su curva ellittica aggiungono la propria confusione, perché il numero di bit di una curva descrive un campo e non un modulo. Confrontare P-384 con un gruppo di campo finito da 3072 bit come se i numeri misurassero la stessa cosa non vi dice nulla.
Cosa può esprimere l’enumerazione di Windows
Il registro IKE e il parametro client di Windows sono interfacce diverse con vocabolari diversi. La documentazione del cmdlet VpnClient di Microsoft indica che DHGroup accetta None, Group1, Group2, Group14, ECP256, ECP384 e Group24. Group15 non compare in quell’insieme documentato, il che significa che il parametro non può esprimere il gruppo richiesto. È un limite dell’interfaccia e non un’affermazione su quali gruppi il protocollo supporti.
Fornire una grafia non elencata, un intero o una stringa di criteri copiata non estende l’enumerazione. Controllate la documentazione per la versione di Windows che distribuite realmente e, se il gruppo non è disponibile, il risultato onesto è un’altra politica approvata o un altro client.
Tenete separati DHGroup, PfsGroup e tipo di certificato
DHGroup seleziona il gruppo per lo scambio chiavi IKE, e PfsGroup governa la segretezza in avanti per le associazioni di traffico protetto che seguono. Sono campi separati, quindi impostare correttamente uno non dice nulla sull’altro. La chiave RSA o ECDSA del certificato è una terza proprietà e appartiene all’autenticazione, non allo scambio effimero. Un solo profilo può quindi essere corretto in uno strato e sbagliato in un altro, e una connessione riuscita non rivelerà in quale.
Le segnalazioni secondo cui un certo tipo di certificato avrebbe imposto un gruppo ECP su ogni connessione IKEv2 descrivono una combinazione di impostazioni. Non stabiliscono una regola del protocollo, e trattarle come una regola è il modo in cui una particolarità locale diventa politica.
Leggete il gruppo che il gateway ha negoziato
Il modulo VpnClient offre Set-VpnConnectionIPsecConfiguration come interfaccia di sola scrittura, e nessun Get- cmdlet corrispondente rilegge quella politica sull’host. Annotate i valori di DHGroup e PfsGroup che avete applicato, poi leggete sul gateway cosa ha realmente usato lo scambio. Eseguite i comandi dopo una connessione nuova e non dopo una riconnessione che ha riutilizzato un’associazione vecchia.
swanctl --list-sas
ipsec statusallUn profilo che riporta Group24 mentre il gateway riporta modp2048s256 è coerente, poiché è lo stesso gruppo in due vocabolari. Un gateway che riporta modp3072 mentre il profilo dice Group24 non è coerente, e un estremo non applica ciò che credete. La riga del certificato risponde alla domanda separata dell’autenticazione, e il campo PFS alla terza. Confrontate tutte e tre prima di scrivere una nota di conformità.
Annotate il gruppo richiesto, il gruppo negoziato e l’interfaccia che ha accettato o rifiutato l’impostazione. Quella terna è ciò che serve a un revisore, e nulla di essa può essere dedotto dal nome della politica.