Windows VPN Group24 pret MODP3072: kura grupa jums nepieciešama?
Grupu numuri ir reģistra ieraksti, nevis rangs pēc lieluma. Saistiet nosaukumu ar tā parametriem, pēc tam pārbaudiet, kuras grupas Windows parametrs spēj izteikt.
Group24 un MODP3072 abi ir atslēgu apmaiņas grupas nosaukumi, un tie nav viena un tā pati grupa ar atšķirīgu stiprumu. Group24 apvieno 2048 bitu moduli ar 256 bitu pirmskaitļa kārtas apakšgrupu, bet MODP3072 ir 3072 bitu grupa ar numuru 15. Izvēloties vienu, kad norādīta otra, prasība tiek mainīta, nevis izpildīta. Rezultātu nosaka četras lietas, un neviena no tām neprasa uzticēties līdzīgi izskatošam nosaukumam.
Numurs ir reģistra ieraksts, nevis rangs
IANA numurē atslēgu apmaiņas grupas to reģistrācijas secībā, tāpēc lielāks numurs nozīmē vēlāku reģistra ierakstu, nevis stiprāku grupu. Grupa ar numuru 14 ir 2048 bitu MODP, grupa ar numuru 15 ir 3072 bitu MODP, un grupa ar numuru 24 apvieno 2048 bitu moduli ar 256 bitu pirmskaitļa kārtas apakšgrupu. Identifikatora lasīšana kā lieluma ranga rada tieši to kļūdu, kad 24 tiek uzskatīta par lielāku nekā 15. Nosaukums ir etiķete, un parametri aiz tā ir tas, ko sarunas faktiski izmanto.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elipses līkņu grupas pievieno savu apjukumu, jo līknes bitu skaits raksturo lauku, nevis moduli. P-384 salīdzināšana ar 3072 bitu galīga lauka grupu tā, it kā skaitļi mērītu vienu un to pašu, jums neko nepasaka.
Ko Windows uzskaitījums spēj izteikt
IKE reģistrs un Windows klienta parametrs ir dažādas saskarnes ar dažādām vārdnīcām. Microsoft VpnClient cmdlet atsauce dokumentē, ka DHGroup pieņem None, Group1, Group2, Group14, ECP256, ECP384 un Group24. Group15 šajā dokumentētajā kopā neparādās, kas nozīmē, ka parametrs nevar izteikt pieprasīto grupu. Tas ir saskarnes ierobežojums, nevis apgalvojums par to, kuras grupas protokols atbalsta.
Neuzskaitītas rakstības, vesela skaitļa vai nokopētas politikas virknes norādīšana uzskaitījumu nepaplašina. Pārbaudiet atsauci tai Windows versijai, kuru jūs faktiski ieviešat, un, ja grupa nav pieejama, godīgais rezultāts ir cita apstiprināta politika vai cits klients.
Turiet DHGroup, PfsGroup un sertifikāta tipu atsevišķi
DHGroup izvēlas grupu IKE atslēgu apmaiņai, un PfsGroup pārvalda uz priekšu vērstu slepenību turpmākajām aizsargātās plūsmas asociācijām. Tie ir atsevišķi lauki, tāpēc viena pareiza iestatīšana neko nepasaka par otru. Sertifikāta RSA vai ECDSA atslēga ir trešā īpašība un pieder autentifikācijai, nevis efemērajai apmaiņai. Tāpēc viens profils var būt pareizs vienā slānī un nepareizs citā, un veiksmīgs savienojums neatklās, kurā.
Ziņojumi, ka noteikts sertifikāta tips katrā IKEv2 savienojumā uzspieda ECP grupu, apraksta vienu iestatījumu kombināciju. Tie nenosaka protokola noteikumu, un to uztveršana par noteikumu ir ceļš, kā vietēja īpatnība kļūst par politiku.
Nolasiet grupu, par kuru vienojās vārteja
VpnClient modulis piedāvā Set-VpnConnectionIPsecConfiguration kā tikai rakstīšanas saskarni, un resursdatorā nav atbilstoša Get- cmdlet, kas šo politiku nolasītu atpakaļ. Pierakstiet lietotās DHGroup un PfsGroup vērtības, pēc tam vārtos nolasiet, ko apmaiņa faktiski izmantoja. Palaižiet komandas pēc jauna savienojuma, nevis pēc atkārtotas pievienošanās, kas izmantoja vecu asociāciju.
swanctl --list-sas
ipsec statusallProfils, kas ziņo Group24, kamēr vārteja ziņo modp2048s256, ir konsekvents, jo tā ir viena un tā pati grupa divās vārdnīcās. Vārteja, kas ziņo modp3072, kamēr profils saka Group24, nav konsekventa, un viens gals neievieš to, ko jūs domājat. Sertifikāta rinda atbild uz atsevišķo autentifikācijas jautājumu, un PFS lauks atbild uz trešo. Salīdziniet visus trīs, pirms rakstāt atbilstības piezīmi.
Pierakstiet pieprasīto grupu, vienoto grupu un saskarni, kas iestatījumu pieņēma vai noraidīja. Šis trijnieks ir tas, kas nepieciešams pārskatītājam, un neko no tā nevar secināt no politikas nosaukuma.