Windows VPN Group24 эсвэл MODP3072: аль бүлэг хэрэгтэй вэ?
Бүлгийн дугаарууд нь бүртгэлийн бичлэгүүд бөгөөд хэмжээгээр эрэмбэлэх биш. Нэрийг параметртэй нь холбож, дараа нь Windows параметр ямар бүлгүүдийг илэрхийлж чадахыг шалгана уу.
Group24 ба MODP3072 нь түлхүүр солилцох бүлгийн хоёр нэр бөгөөд тэд өөр өөр хүчтэй нэг бүлэг биш. Group24 нь 2048 битийн модулийг 256 битийн анхны эрэмбийн дэд бүлэгтэй нэгтгэдэг бол MODP3072 нь 3072 битийн 15 дугаар бүлэг юм. Нөгөөг зааж өгсөн үед нэгийг сонгох нь шаардлагыг биелүүлэхийн оронд өөрчилдөг. Үр дүнг дөрвөн зүйл шийддэг бөгөөд тэдгээрийн аль нь ч ижил төстэй нэрэнд итгэхийг шаарддаггүй.
Дугаар нь бүртгэлийн бичлэг, эрэмбэ биш
IANA түлхүүр солилцох бүлгүүдийг бүртгэгдсэн дарааллаар нь дугаарладаг тул илүү том дугаар нь илүү хүчтэй бүлэг биш, харин дараагийн бүртгэлийн бичлэг гэсэн үг. 14 дүгээр бүлэг нь 2048 битийн MODP, 15 дугаар бүлэг нь 3072 битийн MODP, 24 дүгээр бүлэг нь 2048 битийн модулийг 256 битийн анхны эрэмбийн дэд бүлэгтэй нэгтгэдэг. Таних тэмдгийг хэмжээний эрэмбэ гэж унших нь 24-ийг 15-аас том гэж үзэх яг тэр алдааг үүсгэдэг. Нэр бол шошго бөгөөд түүний ард байгаа параметрүүд нь хэлэлцээрт бодитоор хэрэглэгддэг зүйл юм.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Эллипс муруйн бүлгүүд өөрийн будлианыг нэмдэг, учир нь муруйн битийн тоо нь модуль биш талбарыг тодорхойлдог. P-384-ийг 3072 битийн төгсгөлөг талбарын бүлэгтэй, тоонууд нэг зүйлийг хэмжиж байгаа мэт харьцуулах нь танд юу ч хэлэхгүй.
Windows-ийн тооллого юу илэрхийлж чадах вэ
IKE бүртгэл ба Windows клиентийн параметр нь өөр өөр үгсийн сантай өөр өөр интерфейс юм. Microsoft-ийн VpnClient cmdlet-ийн лавлагаа нь DHGroup нь None, Group1, Group2, Group14, ECP256, ECP384 ба Group24-ийг хүлээн авдаг гэж баримтжуулдаг. Group15 нь тэр баримтжсан олонлогт байхгүй бөгөөд энэ нь параметр танаас шаардсан бүлгийг илэрхийлж чадахгүй гэсэн үг. Энэ нь интерфейсийн хязгаарлалт бөгөөд протокол ямар бүлгүүдийг дэмждэг тухай мэдэгдэл биш.
Жагсаалтад ороогүй бичлэг, бүхэл тоо эсвэл хуулсан бодлогын мөрийг өгөх нь тооллогыг өргөжүүлэхгүй. Та бодитоор нэвтрүүлж буй Windows хувилбарын лавлагааг шалгаж, бүлэг боломжгүй бол шударга үр дүн нь өөр батлагдсан бодлого эсвэл өөр клиент юм.
DHGroup, PfsGroup ба гэрчилгээний төрлийг тусад нь бариарай
DHGroup нь IKE түлхүүр солилцох бүлгийг сонгодог бол PfsGroup нь дараагийн хамгаалагдсан траффикийн холбоодын урагшлах нууцлагдмал байдлыг удирддаг. Эдгээр нь тусдаа талбарууд тул нэгийг зөв тохируулах нь нөгөөгийн талаар юу ч хэлэхгүй. Гэрчилгээний RSA эсвэл ECDSA түлхүүр нь гурав дахь шинж чанар бөгөөд нэвтрүүлэлтэд хамаарах бөгөөд түр зуурын солилцоонд биш. Тиймээс нэг профайл нэг давхаргад зөв, нөгөөд нь буруу байж болох бөгөөд амжилттай холболт аль нь болохыг илрүүлэхгүй.
Тодорхой гэрчилгээний төрөл IKEv2 холболт бүрт ECP бүлгийг тулгасан гэсэн мэдээлэл нь тохиргооны нэг хослолыг дүрсэлдэг. Тэд протоколын дүрмийг тогтоодоггүй бөгөөд тэдгээрийг дүрэм гэж үзэх нь орон нутгийн онцлог бодлого болох зам юм.
Гарцын хэлэлцсэн бүлгийг уншина уу
VpnClient модуль Set-VpnConnectionIPsecConfiguration-ийг зөвхөн бичих интерфейс болгон санал болгодог бөгөөд хост дээр тэр бодлогыг буцааж уншдаг тохирох Get- cmdlet байхгүй. Таны хэрэглэсэн DHGroup ба PfsGroup утгуудыг бичиж, дараа нь гарцаас солилцоо бодитоор юу ашигласныг уншина уу. Командуудыг шинэ холболтын дараа ажиллуул, хуучин холбоог дахин ашигласан дахин холболтын дараа биш.
swanctl --list-sas
ipsec statusallПрофайл Group24 гэж мэдээлж, гарц modp2048s256 гэж мэдээлж байгаа нь хоёр үгсийн санд нэг бүлэг учраас уялдаатай. Гарц modp3072 гэж мэдээлж, профайл Group24 гэж хэлж байгаа нь уялдаагүй бөгөөд нэг төгсгөл таны бодсоныг хэрэгжүүлэхгүй байна. Гэрчилгээний мөр нь тусдаа нэвтрүүлэлтийн асуултад хариулдаг бол PFS талбар нь гурав дахь асуултад хариулдаг. Нийцлийн тэмдэглэл бичихийн өмнө бүх гурвыг харьцуул.
Хүссэн бүлэг, хэлэлцсэн бүлэг ба тохиргоог хүлээн авсан эсвэл татгалзсан интерфейсийг бичнэ үү. Шүүмжлэгчид яг энэ гурвал хэрэгтэй бөгөөд үүнээс юуг ч бодлогын нэрээс таамаглах боломжгүй.