Windows VPN Group24 vs MODP3072: wéi eng Grupp braucht Dir?
Gruppennummeren sinn Registerandrounge, keen Ranking no Gréisst. Verbind den Numm mat senge Parametere, a kontrolléiert duerno, wéi eng Gruppe vum Windows-Parameter ausgedréckt kënne ginn.
Group24 an MODP3072 sinn allebéid Nimm fir eng Schlësselaustauschgrupp, an et sinn net déiselwecht Grupp mat ënnerschiddlecher Stäerkt. Group24 kombinéiert e Modulus vun 2048 Bit mat enger Ënnergrupp vu Primzueluerdnung vu 256 Bit, während MODP3072 déi 3072-Bit-Grupp 15 ass. Eng auswielen, wou déi aner spezifizéiert war, ännert d'Ufuerderung amplaz se z'erfëllen. Véier Saachen entscheeden d'Resultat, an keng dovun erfuerdert, engem ähnlech ausgesinnenden Numm ze vertrauen.
D'Nummer ass eng Registerandroung, keen Rang
IANA nummeréiert Schlësselaustauschgruppe an der Rei, wéi se registréiert goufen, also eng méi grouss Nummer bedeit eng méi spéit Registerandroung an net eng méi staark Grupp. Grupp 14 ass 2048-Bit-MODP, Grupp 15 ass 3072-Bit-MODP, a Grupp 24 kombinéiert e Modulus vun 2048 Bit mat enger Ënnergrupp vu Primzueluerdnung vu 256 Bit. D'Identifikatioun als Gréissteranking liesen erzeegt genee de Feeler, 24 fir eng méi grouss 15 ze halen. Den Numm ass en Etikett, an d'Parametere hannendrun sinn dat, wat d'Verhandlung tatsächlech benotzt.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elliptesch-Kurve-Gruppen bréngen hir eege Verwirrung mat, well d'Bitzuel vun enger Kurve e Feld beschreift an net e Modulus. P-384 mat enger 3072-Bit-Grupp iwwer engem endleche Feld ze vergläichen, wéi wann d'Zuelen dat selwecht moossen, seet Iech näischt.
Wat d'Windows-Opzielung ausdrécke kann
D'IKE-Register an de Windows-Clientparameter sinn ënnerschiddlech Interface'en mat ënnerschiddleche Vokabulären. D'VpnClient-Cmdlet-Referenz vu Microsoft dokumentéiert, datt DHGroup None, Group1, Group2, Group14, ECP256, ECP384 an Group24 akzeptéiert. Group15 erschéngt net an deem dokumentéierte Set, wat bedeit, datt de Parameter déi ugefrote Grupp net ausdrécke kann. Dat ass eng Limite vum Interface an net eng Ausso driwwer, wéi eng Gruppe vum Protokoll ënnerstëtzt ginn.
Eng net opgezielt Schreiweis, eng ganz Zuel oder eng kopéiert Richtlinnenzeechenketten unzeginn erweidert d'Opzielung net. Kontrolléiert d'Referenz fir déi Windows-Versioun, déi Dir tatsächlech asetzt, an wann d'Grupp net verfügbar ass, ass dat éierlech Resultat eng aner genehmegt Richtlinn oder en anere Client.
Halt DHGroup, PfsGroup an Zertifikatstyp ausereneen
DHGroup wielt d'Grupp fir den IKE-Schlësselaustausch, an PfsGroup reegelt d'Forward Secrecy fir d'Assoziatiounen vum geschützten Trafic, déi duerno kommen. Et sinn getrennte Felder, also eng richteg Astellung vum eenen seet näischt iwwer deen aneren. Den RSA- oder ECDSA-Schlëssel vum Zertifikat ass eng drëtt Eegenschaft an gehéiert zur Authentifizéierung, net zum ephemeren Austausch. En eenzele Profil kann dowéinst an enger Schicht richteg an an enger anerer falsch sinn, an eng erfollegräich Verbindung verréit net wéi eng.
Berichter, datt en bestëmmten Zertifikatstyp an all IKEv2-Verbindung eng ECP-Grupp erzwonge hätt, beschreiwen eng Kombinatioun vun Astellungen. Si begrënnen keng Regel vum Protokoll, an se als Regel ze behandelen ass de Wee, wéi eng lokal Eegenheet eng Richtlinn gëtt.
Liest d'Grupp, déi de Gateway verhandelt huet
De VpnClient-Modul bitt Set-VpnConnectionIPsecConfiguration als nëmme-Schreiwen-Interface un, an et gëtt keen entspriechenden Get--Cmdlet, deen déi Richtlinn um Host zréckliest. Notéiert d'DHGroup- an PfsGroup-Wäerter, déi Dir ugewannt hutt, a liest duerno um Gateway, wat den Austausch tatsächlech benotzt huet. Féiert d'Befehler no enger fräscher Verbindung aus an net no enger Reverbindung, déi eng al Assoziatioun weiderbenotzt huet.
swanctl --list-sas
ipsec statusallE Profil, deen Group24 mellt, während de Gateway modp2048s256 mellt, ass konsequent, well dat déiselwecht Grupp an zwee Vokabulären ass. E Gateway, deen modp3072 mellt, während de Profil Group24 seet, ass net konsequent, an en Ennpunkt setzt net duerch, wat Dir unhëlt. D'Zertifikatszeil äntwert op déi separat Authentifizéierungsfro, an d'PFS-Feld op déi drëtt. Vergläicht all dräi, ier Dir eng Konformitéitsnotiz schreift.
Notéiert déi ugefrote Grupp, déi verhandelt Grupp an dat Interface, dat d'Astellung akzeptéiert oder refuséiert huet. Genee déi Dräi brauch e Rezensent, an näischt dovun ass aus dem Richtlinnennumm ofzeleeden.