Windows VPN Group24 наспроти MODP3072: која група ви е потребна?
Броевите на групите се записи во регистарот, а не рангирање по големина. Поврзете го името со неговите параметри, потоа проверете кои групи параметарот на Windows може да ги изрази.
Group24 и MODP3072 се две имиња за група за размена на клучеви и не се истата група со различен степен на јачина. Group24 комбинира модул од 2048 бита со подгрупа од прост ред од 256 бита, додека MODP3072 е групата 15 од 3072 бита. Изборот на едната кога е наведена другата го менува барањето наместо да го исполни. Четири работи го одредуваат исходот и ниту една од нив не бара да се верува на име што изгледа слично.
Бројот е запис во регистарот, а не ранг
IANA ги нумерира групите за размена на клучеви по редот на нивното регистрирање, така што поголем број значи подоцнежен запис во регистарот, а не појака група. Групата 14 е 2048-битен MODP, групата 15 е 3072-битен MODP, а групата 24 комбинира модул од 2048 бита со подгрупа од прост ред од 256 бита. Читањето на идентификаторот како рангирање по големина ја создава токму грешката да се смета 24 за поголема од 15. Името е етикета, а параметрите зад него се она што преговорите навистина го користат.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Групите на елиптични криви додаваат сопствена збрка, бидејќи бројот на битови на кривата опишува поле, а не модул. Споредувањето на P-384 со група на конечно поле од 3072 бита како броевите да мерат исто не ви кажува ништо.
Што може да изрази набројувањето на Windows
Регистарот на IKE и параметарот на клиентот на Windows се различни интерфејси со различни речници. Референцата за cmdlet VpnClient на Microsoft документира дека DHGroup прифаќа None, Group1, Group2, Group14, ECP256, ECP384 и Group24. Group15 не се појавува во тоа документирано множество, што значи дека параметарот не може да ја изрази групата што ви е побарана. Тоа е ограничување на интерфејсот, а не изјава за тоа кои групи ги поддржува протоколот.
Наведувањето на неизлистан правопис, цел број или копирана низа за политика не го проширува набројувањето. Проверете ја референцата за верзијата на Windows што навистина ја распоредувате, и ако групата не е достапна, чесниот исход е друга одобрена политика или друг клиент.
Држете ги DHGroup, PfsGroup и типот на сертификат одделно
DHGroup ја избира групата за размена на клучеви IKE, а PfsGroup управува со напредната тајност за асоцијациите на заштитен сообраќај што следат. Тоа се одделни полиња, така што правилното поставување на едното не кажува ништо за другото. RSA или ECDSA клучот на сертификатот е трето својство и припаѓа на автентикацијата, а не на ефемерната размена. Затоа еден профил може да биде точен во еден слој и неточен во друг, а успешна врска нема да открие во кој.
Извештаите дека одреден тип на сертификат наметнал ECP група на секоја врска IKEv2 опишуваат една комбинација од поставки. Тие не воспоставуваат правило на протоколот, а нивното третирање како правило е начинот на кој локална особеност станува политика.
Прочитајте ја групата за која преговараше портата
Модулот VpnClient го нуди Set-VpnConnectionIPsecConfiguration како интерфејс само за запишување, и нема соодветен Get- cmdlet што ја чита таа политика назад на домаќинот. Запишете ги DHGroup и PfsGroup вредностите што ги применивте, потоа прочитајте на портата што размената навистина користела. Извршете ги наредбите по ново поврзување, а не по повторно поврзување што користело стара асоцијација.
swanctl --list-sas
ipsec statusallПрофил што пријавува Group24 додека портата пријавува modp2048s256 е конзистентен, бидејќи тоа е истата група во два речника. Порта што пријавува modp3072 додека профилот вели Group24 не е конзистентна и едниот крај не го спроведува тоа што вие мислите. Редот на сертификатот одговара на одделното прашање за автентикација, а полето PFS на третото. Споредете ги сите три пред да напишете белешка за усогласеност.
Запишете ја побараната група, преговараната група и интерфејсот што ја прифатил или одбил поставката. Токму таа тројка му е потребна на рецензентот и ништо од неа не може да се заклучи од името на политиката.