Windows VPN Group24 vs MODP3072: നിങ്ങൾക്ക് ഏത് ഗ്രൂപ്പ് വേണം?
ഗ്രൂപ്പ് നമ്പറുകൾ രജിസ്ട്രി എൻട്രികളാണ്, വലുപ്പത്തിന്റെ റാങ്കിംഗ് അല്ല. പേരിനെ അതിന്റെ പാരാമീറ്ററുകളുമായി ബന്ധിപ്പിച്ച്, Windows പാരാമീറ്റർ ഏത് ഗ്രൂപ്പുകൾ പ്രകടിപ്പിക്കാമെന്ന് പരിശോധിക്കുക.
Group24-ഉം MODP3072-ഉം കീ-എക്സ്ചേഞ്ച് ഗ്രൂപ്പിന്റെ രണ്ട് പേരുകളാണ്, അവ വ്യത്യസ്ത ശക്തിയിലുള്ള ഒരേ ഗ്രൂപ്പല്ല. Group24 2048-ബിറ്റ് മോഡുലസിനെ 256-ബിറ്റ് പ്രൈം-ഓർഡർ ഉപഗ്രൂപ്പുമായി സംയോജിപ്പിക്കുന്നു, MODP3072 എന്നത് 3072 ബിറ്റിന്റെ 15-ാം ഗ്രൂപ്പാണ്. മറ്റൊന്ന് വ്യക്തമാക്കിയിരിക്കുമ്പോൾ ഒന്ന് തിരഞ്ഞെടുക്കുന്നത് ആവശ്യകത നിറവേറ്റുന്നതിനുപകരം മാറ്റുന്നു. ഫലം നാല് കാര്യങ്ങൾ തീരുമാനിക്കുന്നു, അവയിൽ ഒന്നും സമാനമായി തോന്നുന്ന ഒരു പേരിൽ വിശ്വസിക്കേണ്ടതില്ല.
നമ്പർ ഒരു രജിസ്ട്രി എൻട്രിയാണ്, റാങ്ക് അല്ല
IANA കീ-എക്സ്ചേഞ്ച് ഗ്രൂപ്പുകളെ അവ രജിസ്റ്റർ ചെയ്ത ക്രമത്തിൽ നമ്പർ ചെയ്യുന്നു, അതിനാൽ വലിയ നമ്പർ കൂടുതൽ ശക്തമായ ഗ്രൂപ്പല്ല, പിന്നീടുള്ള രജിസ്ട്രി എൻട്രിയാണ് അർത്ഥമാക്കുന്നത്. ഗ്രൂപ്പ് 14 2048-ബിറ്റ് MODP, ഗ്രൂപ്പ് 15 3072-ബിറ്റ് MODP, ഗ്രൂപ്പ് 24 2048-ബിറ്റ് മോഡുലസിനെ 256-ബിറ്റ് പ്രൈം-ഓർഡർ ഉപഗ്രൂപ്പുമായി സംയോജിപ്പിക്കുന്നു. ഐഡന്റിഫയർ വലുപ്പ-റാങ്കിംഗായി വായിക്കുന്നത് 24-നെ 15-നേക്കാൾ വലുതായി കണക്കാക്കുന്ന അതേ തെറ്റ് ഉണ്ടാക്കുന്നു. പേര് ഒരു ലേബൽ മാത്രമാണ്, അതിന് പിന്നിലുള്ള പാരാമീറ്ററുകളാണ് ചർച്ച യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്നത്.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
ദീർഘവൃത്തീയ വക്ര ഗ്രൂപ്പുകൾ സ്വന്തം ആശയക്കുഴപ്പം കൂട്ടുന്നു, കാരണം വക്രത്തിന്റെ ബിറ്റ് എണ്ണം ഒരു ഫീൽഡിനെയാണ് വിവരിക്കുന്നത്, മോഡുലസിനെയല്ല. P-384-നെ 3072-ബിറ്റ് പരിമിത-ഫീൽഡ് ഗ്രൂപ്പുമായി, സംഖ്യകൾ ഒരേ കാര്യം അളക്കുന്നതുപോലെ താരതമ്യം ചെയ്യുന്നത് നിങ്ങൾക്ക് ഒന്നും പറയുന്നില്ല.
Windows എണ്ണൽ എന്ത് പ്രകടിപ്പിക്കാം
IKE രജിസ്ട്രിയും Windows ക്ലയന്റ് പാരാമീറ്ററും വ്യത്യസ്ത പദാവലികളുള്ള വ്യത്യസ്ത ഇന്റർഫേസുകളാണ്. Microsoft-ന്റെ VpnClient cmdlet റഫറൻസ് DHGroup None, Group1, Group2, Group14, ECP256, ECP384, Group24 എന്നിവ സ്വീകരിക്കുന്നുവെന്ന് രേഖപ്പെടുത്തുന്നു. Group15 ആ രേഖപ്പെടുത്തിയ ഗണത്തിൽ കാണുന്നില്ല, അതായത് പാരാമീറ്ററിന് നിങ്ങളിൽ നിന്ന് ആവശ്യപ്പെട്ട ഗ്രൂപ്പ് പ്രകടിപ്പിക്കാൻ കഴിയില്ല. ഇത് ഇന്റർഫേസിന്റെ പരിമിതിയാണ്, പ്രോട്ടോക്കോൾ ഏത് ഗ്രൂപ്പുകളെ പിന്തുണയ്ക്കുന്നു എന്ന പ്രസ്താവനയല്ല.
പട്ടികയിൽ ഇല്ലാത്ത അക്ഷരവിന്യാസം, പൂർണ്ണസംഖ്യ അല്ലെങ്കിൽ പകർത്തിയ നയ സ്ട്രിംഗ് നൽകുന്നത് എണ്ണൽ വിപുലീകരിക്കുന്നില്ല. നിങ്ങൾ യഥാർത്ഥത്തിൽ വിന്യസിക്കുന്ന Windows പതിപ്പിനുള്ള റഫറൻസ് പരിശോധിക്കുക, ഗ്രൂപ്പ് ലഭ്യമല്ലെങ്കിൽ സത്യസന്ധമായ ഫലം മറ്റൊരു അംഗീകൃത നയമോ മറ്റൊരു ക്ലയന്റോ ആണ്.
DHGroup, PfsGroup, സർട്ടിഫിക്കറ്റ് തരം എന്നിവ വേർതിരിച്ച് സൂക്ഷിക്കുക
IKE കീ-എക്സ്ചേഞ്ചിനുള്ള ഗ്രൂപ്പ് DHGroup തിരഞ്ഞെടുക്കുന്നു, തുടർന്ന് വരുന്ന സംരക്ഷിത-ട്രാഫിക് അസോസിയേഷനുകൾക്കുള്ള മുന്നോട്ടുള്ള രഹസ്യത PfsGroup നിയന്ത്രിക്കുന്നു. ഇവ വേറെ ഫീൽഡുകളാണ്, അതിനാൽ ഒന്ന് ശരിയായി ക്രമീകരിക്കുന്നത് മറ്റൊന്നിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. സർട്ടിഫിക്കറ്റിന്റെ RSA അല്ലെങ്കിൽ ECDSA കീ മൂന്നാമത്തെ സവിശേഷതയാണ്, അത് ആധികാരികതയുമായി ബന്ധപ്പെട്ടതാണ്, താൽക്കാലിക കൈമാറ്റവുമായി അല്ല. അതിനാൽ ഒരു പ്രൊഫൈൽ ഒരു പാളിയിൽ ശരിയും മറ്റൊന്നിൽ തെറ്റും ആകാം, വിജയകരമായ കണക്ഷൻ ഏതെന്ന് വെളിപ്പെടുത്തില്ല.
ഒരു പ്രത്യേക സർട്ടിഫിക്കറ്റ് തരം ഓരോ IKEv2 കണക്ഷനിലും ECP ഗ്രൂപ്പ് അടിച്ചേൽപ്പിച്ചുവെന്ന റിപ്പോർട്ടുകൾ ഒരു ക്രമീകരണ കോമ്പിനേഷൻ വിവരിക്കുന്നു. അവ പ്രോട്ടോക്കോളിന്റെ ഒരു നിയമം സ്ഥാപിക്കുന്നില്ല, അവയെ ഒരു നിയമമായി കാണുന്നതാണ് പ്രാദേശിക വിചിത്രത നയമാകുന്ന വഴി.
ഗേറ്റ്‌വേ ചർച്ച ചെയ്ത ഗ്രൂപ്പ് വായിക്കുക
VpnClient മൊഡ്യൂൾ Set-VpnConnectionIPsecConfiguration എഴുത്തിന് മാത്രമുള്ള ഇന്റർഫേസായി നൽകുന്നു, ഹോസ്റ്റിൽ ആ നയം തിരികെ വായിക്കുന്ന അനുബന്ധ Get- cmdlet ഇല്ല. നിങ്ങൾ പ്രയോഗിച്ച DHGroup, PfsGroup മൂല്യങ്ങൾ രേഖപ്പെടുത്തി, കൈമാറ്റം യഥാർത്ഥത്തിൽ എന്ത് ഉപയോഗിച്ചുവെന്ന് ഗേറ്റ്‌വേയിൽ നിന്ന് വായിക്കുക. പുതിയ കണക്ഷനുശേഷം കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുക, പഴയ അസോസിയേഷൻ വീണ്ടും ഉപയോഗിച്ച വീണ്ടും-ബന്ധിപ്പിക്കലിനുശേഷം അല്ല.
swanctl --list-sas
ipsec statusallപ്രൊഫൈൽ Group24 റിപ്പോർട്ട് ചെയ്യുമ്പോൾ ഗേറ്റ്‌വേ modp2048s256 റിപ്പോർട്ട് ചെയ്യുന്നത് സ്ഥിരതയുള്ളതാണ്, കാരണം അവ രണ്ട് പദാവലികളിൽ ഒരേ ഗ്രൂപ്പാണ്. ഗേറ്റ്‌വേ modp3072 റിപ്പോർട്ട് ചെയ്യുമ്പോൾ പ്രൊഫൈൽ Group24 എന്ന് പറയുന്നത് സ്ഥിരതയുള്ളതല്ല, ഒരു അറ്റം നിങ്ങൾ കരുതുന്നത് നടപ്പാക്കുന്നില്ല. സർട്ടിഫിക്കറ്റ് വരി വേറെയുള്ള ആധികാരികതാ ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു, PFS ഫീൽഡ് മൂന്നാമത്തേതിനും. അനുരൂപത കുറിപ്പ് എഴുതുന്നതിന് മുമ്പ് മൂന്നും താരതമ്യം ചെയ്യുക.
ആവശ്യപ്പെട്ട ഗ്രൂപ്പ്, ചർച്ച ചെയ്ത ഗ്രൂപ്പ്, ക്രമീകരണം സ്വീകരിച്ച അല്ലെങ്കിൽ നിരസിച്ച ഇന്റർഫേസ് എന്നിവ രേഖപ്പെടുത്തുക. അവലോകകന് വേണ്ടത് ഈ ത്രികമാണ്, അതിൽ ഒന്നും നയത്തിന്റെ പേരിൽ നിന്ന് അനുമാനിക്കാനാവില്ല.