Windows VPN Group24 ან MODP3072: რომელი ჯგუფი გჭირდებათ?
ჯგუფის ნომრები რეესტრის ჩანაწერებია და არა ზომის მიხედვით რანჟირება. დააკავშირეთ სახელი მის პარამეტრებთან, შემდეგ შეამოწმეთ, რომელი ჯგუფების გამოხატვა შეუძლია Windows-ის პარამეტრს.
Group24 და MODP3072 ორივე გასაღების გაცვლის ჯგუფის სახელია და ისინი არ არიან ერთი და იგივე ჯგუფი სხვადასხვა სიძლიერით. Group24 აერთიანებს 2048-ბიტიან მოდულს 256-ბიტიან მარტივი რიგის ქვეჯგუფთან, ხოლო MODP3072 არის 3072-ბიტიანი ჯგუფი 15. ერთის არჩევა, როცა მეორე იყო მითითებული, ცვლის მოთხოვნას მის შესრულების ნაცვლად. შედეგს ოთხი რამ წყვეტს და არც ერთი მათგანი არ მოითხოვს მსგავსი სახელის ნდობას.
ნომერი რეესტრის ჩანაწერია და არა რანგი
IANA გასაღების გაცვლის ჯგუფებს ნომრავს მათი რეგისტრაციის რიგით, ამიტომ უფრო დიდი ნომერი ნიშნავს უფრო გვიანდელ რეესტრის ჩანაწერს და არა უფრო ძლიერ ჯგუფს. ჯგუფი 14 არის 2048-ბიტიანი MODP, ჯგუფი 15 არის 3072-ბიტიანი MODP, ხოლო ჯგუფი 24 აერთიანებს 2048-ბიტიან მოდულს 256-ბიტიან მარტივი რიგის ქვეჯგუფთან. იდენტიფიკატორის ზომის რანჟირებად წაკითხვა ქმნის ზუსტად იმ შეცდომას, რომ 24 ჩაითვალოს 15-ზე დიდად. სახელი ეტიკეტია და მის უკან არსებული პარამეტრებია ის, რასაც მოლაპარაკება რეალურად იყენებს.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
ელიფსური მრუდის ჯგუფები საკუთარ დაბნეულობას მატებენ, რადგან მრუდის ბიტების რაოდენობა აღწერს ველს და არა მოდულს. P-384-ის შედარება 3072-ბიტიან სასრულ ველის ჯგუფთან, თითქოს რიცხვები ერთსა და იმავეს ზომავდნენ, არაფერს გეუბნებათ.
რისი გამოხატვა შეუძლია Windows-ის ჩამონათვალს
IKE-ის რეესტრი და Windows-ის კლიენტის პარამეტრი სხვადასხვა ლექსიკის მქონე სხვადასხვა ინტერფეისია. Microsoft-ის VpnClient cmdlet-ის ცნობარი ადასტურებს, რომ DHGroup იღებს None, Group1, Group2, Group14, ECP256, ECP384 და Group24 მნიშვნელობებს. Group15 არ ჩანს ამ დოკუმენტირებულ სიმრავლეში, რაც ნიშნავს, რომ პარამეტრს არ შეუძლია გამოხატოს თქვენგან მოთხოვნილი ჯგუფი. ეს ინტერფეისის შეზღუდვაა და არა განცხადება იმაზე, თუ რომელ ჯგუფებს უჭერს პროტოკოლი მხარს.
სიაში არმყოფი ორთოგრაფიის, მთელი რიცხვის ან დაკოპირებული პოლიტიკის სტრიქონის მიწოდება არ აფართოებს ჩამონათვალს. შეამოწმეთ ცნობარი იმ Windows-ის ვერსიისთვის, რომელსაც რეალურად აყენებთ, და თუ ჯგუფი მიუწვდომელია, პატიოსანი შედეგია სხვა დამტკიცებული პოლიტიკა ან სხვა კლიენტი.
გამოყავით DHGroup, PfsGroup და სერტიფიკატის ტიპი
DHGroup ირჩევს ჯგუფს IKE-ის გასაღების გაცვლისთვის, ხოლო PfsGroup მართავს წინსვლით საიდუმლოებას დაცული ტრაფიკის ასოციაციებისთვის, რომლებიც მოჰყვება. ეს ცალკეული ველებია, ამიტომ ერთის სწორად დაყენება არაფერს ამბობს მეორეზე. სერტიფიკატის RSA ან ECDSA გასაღები მესამე თვისებაა და ეკუთვნის აუთენტიფიკაციას და არა ეფემერულ გაცვლას. ამიტომ ერთი პროფილი შეიძლება იყოს ერთ ფენაში სწორი და მეორეში მცდარი, და წარმატებული კავშირი არ გაამჟღავნებს რომელში.
ცნობები, რომ გარკვეულმა სერტიფიკატის ტიპმა ყოველ IKEv2 კავშირზე აიძულა ECP ჯგუფი, აღწერს პარამეტრების ერთ კომბინაციას. ისინი არ ამკვიდრებენ პროტოკოლის წესს და მათზე წესივით მოპყრობა ის გზაა, რომლითაც ლოკალური უცნაურობა პოლიტიკად იქცევა.
წაიკითხეთ ჯგუფი, რომელზეც შეთანხმდა კარიბჭე
VpnClient მოდული გვთავაზობს Set-VpnConnectionIPsecConfiguration-ს მხოლოდ ჩაწერის ინტერფეისად, და ჰოსტზე არ არსებობს შესაბამისი Get- cmdlet, რომელიც ამ პოლიტიკას უკან წაიკითხავს. ჩაწერეთ თქვენ მიერ გამოყენებული DHGroup და PfsGroup მნიშვნელობები, შემდეგ კარიბჭეზე წაიკითხეთ, რა გამოიყენა გაცვლამ რეალურად. გაუშვით ბრძანებები ახალი კავშირის შემდეგ და არა ძველი ასოციაციის ხელახლა გამოყენებული ხელახალი დაკავშირების შემდეგ.
swanctl --list-sas
ipsec statusallპროფილი, რომელიც იუწყება Group24-ს, მაშინ როცა კარიბჭე იუწყება modp2048s256-ს, თანმიმდევრულია, რადგან ეს ორ ლექსიკაში ერთი და იგივე ჯგუფია. კარიბჭე, რომელიც იუწყება modp3072-ს, მაშინ როცა პროფილი ამბობს Group24-ს, არ არის თანმიმდევრული და ერთი ბოლო არ აღასრულებს იმას, რაც თქვენ გგონიათ. სერტიფიკატის ხაზი პასუხობს ცალკე აუთენტიფიკაციის კითხვას, ხოლო PFS ველი მესამეს. შეადარეთ სამივე სანამ შესაბამისობის ჩანაწერს დაწერთ.
ჩაწერეთ მოთხოვნილი ჯგუფი, შეთანხმებული ჯგუფი და ინტერფეისი, რომელმაც მიიღო ან უარყო პარამეტრი. სწორედ ეს სამეული სჭირდება მიმომხილველს და მისი არაფერი არ შეიძლება გამოიცნოთ პოლიტიკის სახელიდან.