Windows VPN Group24 немесе MODP3072: қай топ қажет?
Топ нөмірлері тіркелім жазбалары, өлшем бойынша дәрежелеу емес. Атауды оның параметрлерімен байланыстырыңыз, содан кейін Windows параметрі қандай топтарды білдіре алатынын тексеріңіз.
Group24 және MODP3072 — кілт алмасу тобының екі атауы, және олар әртүрлі күштегі бір топ емес. Group24 2048 биттік модульді 256 биттік қарапайым ретті ішкі топпен біріктіреді, ал MODP3072 — 3072 биттік 15-топ. Басқасы көрсетілгенде біреуін таңдау талапты орындаудың орнына өзгертеді. Нәтижені төрт нәрсе шешеді және олардың ешқайсысы ұқсас көрінетін атауға сенуді талап етпейді.
Нөмір — тіркелім жазбасы, дәреже емес
IANA кілт алмасу топтарын тіркелу ретімен нөмірлейді, сондықтан үлкен нөмір кейінгі тіркелім жазбасын білдіреді, күштірек топты емес. 14-топ — 2048 биттік MODP, 15-топ — 3072 биттік MODP, ал 24-топ 2048 биттік модульді 256 биттік қарапайым ретті ішкі топпен біріктіреді. Идентификаторды өлшем дәрежесі ретінде оқу 24-ті 15-тен үлкен деп санаудың дәл сол қатесін тудырады. Атау — жапсырма, ал оның артындағы параметрлер келіссөздің нақты қолданатыны.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Эллипстік қисық топтары өз шатасуын қосады, өйткені қисықтың бит саны модульді емес, өрісті сипаттайды. P-384-ті 3072 биттік шекті өріс тобымен сандар бір нәрсені өлшейтіндей салыстыру сізге ештеңе айтпайды.
Windows санағы нені білдіре алады
IKE тіркелімі мен Windows клиент параметрі әртүрлі сөздіктері бар әртүрлі интерфейстер. Microsoft-тың VpnClient cmdlet анықтамасы DHGroup параметрінің None, Group1, Group2, Group14, ECP256, ECP384 және Group24 қабылдайтынын құжаттайды. Group15 сол құжатталған жиынтықта кездеспейді, бұл параметр сізден сұралған топты білдіре алмайтынын білдіреді. Бұл интерфейстің шектеуі, протокол қандай топтарды қолдайтыны туралы мәлімдеме емес.
Тізімде жоқ жазылымды, бүтін санды немесе көшірілген саясат жолын беру санақты кеңейтпейді. Нақты енгізіп жатқан Windows нұсқасы үшін анықтаманы тексеріңіз, ал топ қолжетімсіз болса, адал нәтиже — басқа бекітілген саясат немесе басқа клиент.
DHGroup, PfsGroup және сертификат түрін бөлек ұстаңыз
DHGroup IKE кілт алмасуы үшін топты таңдайды, ал PfsGroup кейінгі қорғалған трафик ассоциациялары үшін алға қарай құпиялылықты басқарады. Бұлар жеке өрістер, сондықтан біреуін дұрыс орнату екіншісі туралы ештеңе айтпайды. Сертификаттың RSA немесе ECDSA кілті үшінші қасиет және аутентификацияға жатады, эфемерлік алмасуға емес. Сондықтан бір профиль бір қабатта дұрыс, екіншісінде қате болуы мүмкін, және сәтті қосылым қайсысы екенін ашпайды.
Белгілі бір сертификат түрі әрбір IKEv2 қосылымында ECP тобын мәжбүрледі деген есептер параметрлердің бір тіркесімін сипаттайды. Олар протоколдың ережесін бекітпейді, және оларды ереже ретінде қарау жергілікті ерекшеліктің саясатқа айналу жолы.
Шлюз келіскен топты оқыңыз
VpnClient модулі Set-VpnConnectionIPsecConfiguration командасын тек жазу интерфейсі ретінде ұсынады, және хостта бұл саясатты кері оқитын сәйкес Get- cmdlet жоқ. Сіз қолданған DHGroup және PfsGroup мәндерін жазып алыңыз, содан кейін шлюзден алмасудың нақты нені қолданғанын оқыңыз. Командаларды жаңа қосылымнан кейін іске қосыңыз, ескі ассоциацияны қайта пайдаланған қайта қосылудан кейін емес.
swanctl --list-sas
ipsec statusallПрофиль Group24 деп хабарласа, ал шлюз modp2048s256 деп хабарласа, бұл үйлесімді, өйткені бұлар екі сөздіктегі бір топ. Шлюз modp3072 деп хабарласа, ал профиль Group24 десе, бұл үйлесімді емес және бір шеті сіз ойлағанды орындамайды. Сертификат жолы жеке аутентификация сұрағына жауап береді, ал PFS өрісі үшіншісіне. Сәйкестік жазбасын жазбас бұрын үшеуін салыстырыңыз.
Сұралған топты, келісілген топты және параметрді қабылдаған немесе қабылдамаған интерфейсті жазыңыз. Дәл осы үштік шолушыға қажет және оның ешбірін саясат атауынан болжауға болмайды.