Windows VPN Group24 ar MODP3072: kurios grupės jums reikia?
Grupių numeriai yra registro įrašai, o ne rikiavimas pagal dydį. Susiekite pavadinimą su jo parametrais, tada patikrinkite, kurias grupes gali išreikšti Windows parametras.
Group24 ir MODP3072 abu yra raktų mainų grupės pavadinimai, ir tai nėra ta pati grupė skirtingo stiprumo. Group24 sujungia 2048 bitų modulį su 256 bitų pirminės eilės pogrupiu, o MODP3072 yra 3072 bitų 15 grupė. Pasirinkus vieną, kai buvo nurodyta kita, reikalavimas pakeičiamas, o ne įvykdomas. Rezultatą lemia keturi dalykai, ir nė vienas jų nereikalauja pasitikėti panašiai atrodančiu pavadinimu.
Numeris yra registro įrašas, o ne rangas
IANA numeruoja raktų mainų grupes jų registravimo tvarka, todėl didesnis numeris reiškia vėlesnį registro įrašą, o ne stipresnę grupę. 14 grupė yra 2048 bitų MODP, 15 grupė yra 3072 bitų MODP, o 24 grupė sujungia 2048 bitų modulį su 256 bitų pirminės eilės pogrupiu. Identifikatoriaus skaitymas kaip dydžio rango sukuria būtent tą klaidą, kai 24 laikoma didesne už 15. Pavadinimas yra etiketė, o parametrai už jo yra tai, ką derybos iš tikrųjų naudoja.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elipsinių kreivių grupės prideda savo painiavos, nes kreivės bitų skaičius apibūdina lauką, o ne modulį. P-384 lyginimas su 3072 bitų baigtinio lauko grupe taip, tarsi skaičiai matuotų tą patį, jums nieko nesako.
Ką gali išreikšti Windows sąrašas
IKE registras ir Windows kliento parametras yra skirtingos sąsajos su skirtingais žodynais. Microsoft VpnClient cmdlet nuoroda dokumentuoja, kad DHGroup priima None, Group1, Group2, Group14, ECP256, ECP384 ir Group24. Group15 tame dokumentuotame rinkinyje nepasirodo, o tai reiškia, kad parametras negali išreikšti prašomos grupės. Tai sąsajos apribojimas, o ne teiginys apie tai, kurias grupes protokolas palaiko.
Nenurodytos rašybos, sveikojo skaičiaus ar nukopijuotos politikos eilutės pateikimas neišplečia sąrašo. Patikrinkite nuorodą tai Windows versijai, kurią iš tikrųjų diegiate, ir jei grupė nepasiekiama, sąžiningas rezultatas yra kita patvirtinta politika arba kitas klientas.
Išlaikykite DHGroup, PfsGroup ir sertifikato tipą atskirai
DHGroup parenka grupę IKE raktų mainams, o PfsGroup valdo išankstinį slaptumą vėlesnėms apsaugoto srauto asociacijoms. Tai atskiri laukai, todėl teisingas vieno nustatymas nieko nepasako apie kitą. Sertifikato RSA arba ECDSA raktas yra trečioji savybė ir priklauso autentifikavimui, o ne efemeriškam mainui. Todėl vienas profilis gali būti teisingas viename sluoksnyje ir neteisingas kitame, ir sėkmingas ryšys neatskleis kuriame.
Pranešimai, kad tam tikras sertifikato tipas privertė naudoti ECP grupę kiekviename IKEv2 ryšyje, apibūdina vieną nustatymų derinį. Jie nenustato protokolo taisyklės, o jų traktavimas kaip taisyklės yra būdas, kuriuo vietinė ypatybė tampa politika.
Perskaitykite grupę, dėl kurios susitarė tinklo vartai
VpnClient modulis siūlo Set-VpnConnectionIPsecConfiguration kaip tik rašymui skirtą sąsają, ir nėra atitinkamo Get- cmdlet, kuris perskaitytų tą politiką atgal hoste. Užrašykite pritaikytas DHGroup ir PfsGroup reikšmes, tada vartuose perskaitykite, ką mainai iš tikrųjų naudojo. Komandas vykdykite po naujo ryšio, o ne po pakartotinio prisijungimo, kuris panaudojo seną asociaciją.
swanctl --list-sas
ipsec statusallProfilis, kuris nurodo Group24, o vartai nurodo modp2048s256, yra nuoseklus, nes tai ta pati grupė dviem žodynais. Vartai, kurie nurodo modp3072, o profilis sako Group24, nėra nuoseklūs, ir vienas galas nevykdo to, ką jūs manote. Sertifikato eilutė atsako į atskirą autentifikavimo klausimą, o PFS laukas į trečiąjį. Palyginkite visus tris prieš rašydami atitikties pastabą.
Užrašykite prašomą grupę, suderėtą grupę ir sąsają, kuri priėmė arba atmetė nustatymą. Šis trejetas yra tai, ko reikia peržiūrėtojui, ir nieko iš to negalima numanyti iš politikos pavadinimo.