Windows VPN Group24 же MODP3072: кайсы топ керек?
Топ номурлары регистр жазуулары, өлчөм боюнча даражалоо эмес. Аталышты анын параметрлери менен байланыштырып, андан кийин Windows параметри кайсы топторду билдире аларын текшериңиз.
Group24 жана MODP3072 — ачкыч алмашуу тобунун эки аталышы, жана алар ар башка күчтөгү бир топ эмес. Group24 2048 биттик модулду 256 биттик жөнөкөй тартиптеги ички топ менен айкалыштырат, ал эми MODP3072 — 3072 биттик 15-топ. Башкасы көрсөтүлгөндө бирин тандоо талапты аткаруунун ордуна өзгөртөт. Жыйынтыкты төрт нерсе чечет жана алардын эч бири окшош көрүнгөн атка ишенүүнү талап кылбайт.
Номер — регистр жазуусу, даража эмес
IANA ачкыч алмашуу топторун катталган тартиби менен номерлейт, ошондуктан чоңураак номер кийинки регистр жазуусун билдирет, күчтүүрөөк топту эмес. 14-топ — 2048 биттик MODP, 15-топ — 3072 биттик MODP, ал эми 24-топ 2048 биттик модулду 256 биттик жөнөкөй тартиптеги ички топ менен айкалыштырат. Идентификаторду өлчөм даражасы катары окуу 24тү 15тен чоң деп эсептөөнүн дал ошол катасын жаратат. Аталыш — белги, ал эми анын артындагы параметрлер сүйлөшүүлөр чындыгында колдонгон нерсе.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Эллипстик ийри сызык топтору өзүнүн баш аламандыгын кошот, анткени ийри сызыктын бит саны модулду эмес, талааны сүрөттөйт. P-384тү 3072 биттик чектүү талаа тобу менен сандар бир нерсени өлчөгөндөй салыштыруу сизге эч нерсе айтпайт.
Windows эсеби эмнени билдире алат
IKE регистри жана Windows кардар параметри ар башка сөздүктөрү бар ар башка интерфейстер. Microsoftтун VpnClient cmdlet маалымдамасы DHGroup None, Group1, Group2, Group14, ECP256, ECP384 жана Group24 кабыл аларын документтештирет. Group15 ошол документтелген жыйындыда кездешпейт, бул параметр сизден суралган топту билдире албайт дегенди билдирет. Бул интерфейстин чектөөсү, протокол кайсы топторду колдойт деген билдирүү эмес.
Тизмеде жок жазууну, бүтүн санды же көчүрүлгөн саясат сапты берүү эсепти кеңейтпейт. Чындыгында орнотуп жаткан Windows версиясы үчүн маалымдаманы текшериңиз, ал эми топ жеткиликсиз болсо, ак ниеттүү жыйынтык — башка бекитилген саясат же башка кардар.
DHGroup, PfsGroup жана сертификат түрүн өзүнчө кармаңыз
DHGroup IKE ачкыч алмашуусу үчүн топту тандайт, ал эми PfsGroup кийинки корголгон трафик ассоциациялары үчүн алдыга карай жашыруундуулукту башкарат. Булар өзүнчө талаалар, ошондуктан бирин туура коюу экинчиси жөнүндө эч нерсе айтпайт. Сертификаттын RSA же ECDSA ачкычы үчүнчү касиет жана аутентификацияга таандык, эфемералдык алмашууга эмес. Ошондуктан бир профиль бир катмарда туура, экинчисинде туура эмес болушу мүмкүн, жана ийгиликтүү байланыш кайсы экенин ачпайт.
Белгилүү бир сертификат түрү ар бир IKEv2 байланышында ECP тобун мажбурлаганы тууралуу баяндамалар параметрлердин бир айкалышын сүрөттөйт. Алар протоколдун эрежесин белгилебейт, жана аларды эреже катары кароо жергиликтүү өзгөчөлүктүн саясатка айлануу жолу.
Шлюз сүйлөшкөн топту окуңуз
VpnClient модулу Set-VpnConnectionIPsecConfiguration командасын жазуу гана интерфейси катары сунуштайт, жана хостто бул саясатты кайра окуган тиешелүү Get- cmdlet жок. Сиз колдонгон DHGroup жана PfsGroup маанилерин жазып алыңыз, андан кийин шлюзден алмашуу чындыгында эмнени колдонгонун окуңуз. Командаларды жаңы байланыштан кийин иштетиңиз, эски ассоциацияны кайра колдонгон кайра туташуудан кийин эмес.
swanctl --list-sas
ipsec statusallПрофиль Group24 деп билдирсе, ал эми шлюз modp2048s256 деп билдирсе, бул ылайыктуу, анткени булар эки сөздүктөгү бир топ. Шлюз modp3072 деп билдирсе, ал эми профиль Group24 десе, бул ылайыктуу эмес жана бир четин сиз ойлогонду аткарбайт. Сертификат сабы өзүнчө аутентификация суроосуна жооп берет, ал эми PFS талаасы үчүнчүсүнө. Шайкештик эскертүүсүн жазганга чейин үчөөнү салыштырыңыз.
Суралган топту, сүйлөшүлгөн топту жана параметрди кабыл алган же четке каккан интерфейсти жазыңыз. Дал ушул үчтүк текшерүүчүгө керек жана анын эч бирин саясаттын атынан болжолдоого болбойт.