Windows VPN Group24 대 MODP3072: 어떤 그룹이 필요하신가요?
그룹 번호는 레지스트리 항목이지 크기 순위가 아닙니다. 이름을 해당 매개변수에 대응시킨 다음 Windows 매개변수가 어떤 그룹을 표현할 수 있는지 확인하세요.
Group24와 MODP3072는 모두 키 교환 그룹의 이름이며, 서로 다른 강도의 같은 그룹이 아닙니다. Group24는 2048비트 모듈러스와 256비트 소수 차수 부분군을 결합하고, MODP3072는 3072비트 그룹 15입니다. 다른 하나가 지정되었을 때 한쪽을 고르는 것은 요구 사항을 충족하는 대신 바꾸는 것입니다. 결과를 결정하는 것은 네 가지이며, 그중 어느 것도 비슷해 보이는 이름을 신뢰할 것을 요구하지 않습니다.
번호는 레지스트리 항목이지 순위가 아니다
IANA는 키 교환 그룹을 등록된 순서대로 번호를 매기므로, 더 큰 번호는 더 강한 그룹이 아니라 더 늦은 레지스트리 항목을 뜻합니다. 그룹 14는 2048비트 MODP, 그룹 15는 3072비트 MODP이며, 그룹 24는 2048비트 모듈러스와 256비트 소수 차수 부분군을 결합합니다. 식별자를 크기 순위로 읽으면 24를 15보다 크다고 보는 바로 그 실수가 생깁니다. 이름은 라벨일 뿐이며, 그 뒤의 매개변수가 협상에서 실제로 사용되는 것입니다.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
타원 곡선 그룹은 자체적인 혼란을 더합니다. 곡선의 비트 수는 모듈러스가 아니라 체를 설명하기 때문에, P-384를 3072비트 유한체 그룹과 숫자가 같은 것을 측정하는 것처럼 비교해도 아무것도 알 수 없습니다.
Windows 열거가 표현할 수 있는 것
IKE 레지스트리와 Windows 클라이언트 매개변수는 어휘가 다른 서로 다른 인터페이스입니다. Microsoft의 VpnClient cmdlet 참조는 DHGroup이 None, Group1, Group2, Group14, ECP256, ECP384, Group24를 받는다고 문서화합니다. Group15는 그 문서화된 집합에 없으므로, 이 매개변수로는 요청받은 그룹을 표현할 수 없습니다. 이는 인터페이스의 한계이지 프로토콜이 어떤 그룹을 지원하는지에 대한 진술이 아닙니다.
목록에 없는 표기, 정수 또는 복사한 정책 문자열을 제공해도 열거가 확장되지는 않습니다. 실제로 배포하는 Windows 버전에 대한 참조를 확인하고, 그룹을 사용할 수 없다면 정직한 결과는 다른 승인된 정책이나 다른 클라이언트입니다.
DHGroup, PfsGroup, 인증서 유형을 구분하세요
DHGroup은 IKE 키 교환용 그룹을 선택하고, PfsGroup은 뒤따르는 보호 트래픽 연결에 대한 전방 비밀성을 관장합니다. 별개의 필드이므로 하나를 올바르게 설정해도 다른 하나에 대해서는 아무것도 말해 주지 않습니다. 인증서의 RSA 또는 ECDSA 키는 세 번째 속성이며 인증에 속하고 일시적 교환에는 속하지 않습니다. 따라서 하나의 프로필이 한 계층에서는 맞고 다른 계층에서는 틀릴 수 있으며, 성공한 연결이 어느 쪽인지 알려 주지 않습니다.
특정 인증서 유형이 모든 IKEv2 연결에서 ECP 그룹을 강제했다는 보고는 하나의 설정 조합을 설명합니다. 그것은 프로토콜의 규칙을 확립하지 않으며, 이를 규칙으로 취급하는 것이 국지적 특이성이 정책이 되는 방식입니다.
게이트웨이가 협상한 그룹을 읽으세요
VpnClient 모듈은 Set-VpnConnectionIPsecConfiguration을 쓰기 전용 인터페이스로 제공하며, 호스트에서 그 정책을 다시 읽는 대응 Get- cmdlet은 없습니다. 적용한 DHGroup 및 PfsGroup 값을 기록한 다음, 게이트웨이에서 교환이 실제로 무엇을 사용했는지 읽으세요. 명령은 새 연결 후에 실행하고, 이전 연결을 재사용한 재연결 후에는 실행하지 마세요.
swanctl --list-sas
ipsec statusall프로필이 Group24를 보고하고 게이트웨이가 modp2048s256을 보고하는 것은 두 어휘에서 같은 그룹이므로 일관됩니다. 게이트웨이가 modp3072를 보고하는데 프로필이 Group24라고 하면 일관되지 않으며, 한쪽 끝이 믿는 대로 적용하지 않는 것입니다. 인증서 줄은 별개의 인증 질문에 답하고, PFS 필드는 세 번째 질문에 답합니다. 규정 준수 메모를 쓰기 전에 세 가지를 비교하세요.
요청한 그룹, 협상된 그룹, 그리고 설정을 수락하거나 거부한 인터페이스를 기록하세요. 검토자에게 필요한 것은 바로 이 세 가지이며, 어느 것도 정책 이름에서 추론할 수 없습니다.