Windows VPN Group24 vs MODP3072: kumpulan mana yang anda perlukan?
Nombor kumpulan ialah entri pendaftaran, bukan kedudukan mengikut saiz. Petakan nama kepada parameternya, kemudian semak kumpulan mana yang boleh dinyatakan oleh parameter Windows.
Group24 dan MODP3072 kedua-duanya nama bagi kumpulan pertukaran kunci, dan ia bukan kumpulan yang sama pada kekuatan berbeza. Group24 menggabungkan modulus 2048 bit dengan subkumpulan tertib perdana 256 bit, manakala MODP3072 ialah kumpulan 15 bersaiz 3072 bit. Memilih satu apabila yang lain ditetapkan mengubah keperluan dan bukannya memenuhinya. Empat perkara menentukan hasilnya, dan tiada satupun memerlukan kepercayaan kepada nama yang kelihatan serupa.
Nombor itu entri pendaftaran, bukan pangkat
IANA menomborkan kumpulan pertukaran kunci mengikut urutan pendaftarannya, jadi nombor lebih besar bermaksud entri pendaftaran lebih lewat dan bukannya kumpulan lebih kuat. Kumpulan 14 ialah MODP 2048 bit, kumpulan 15 ialah MODP 3072 bit, dan kumpulan 24 menggabungkan modulus 2048 bit dengan subkumpulan tertib perdana 256 bit. Membaca pengecam sebagai kedudukan saiz menghasilkan tepat kesilapan menganggap 24 lebih besar daripada 15. Nama hanyalah label, dan parameter di sebaliknya ialah apa yang rundingan sebenarnya gunakan.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Kumpulan lengkung eliptik menambah kekeliruan mereka sendiri, kerana bilangan bit lengkung menerangkan medan dan bukan modulus. Membandingkan P-384 dengan kumpulan medan terhingga 3072 bit seolah-olah nombor itu mengukur perkara yang sama tidak memberitahu anda apa-apa.
Apa yang boleh dinyatakan oleh penghitungan Windows
Daftar IKE dan parameter klien Windows ialah antara muka berbeza dengan kosa kata berbeza. Rujukan cmdlet VpnClient Microsoft mendokumenkan bahawa DHGroup menerima None, Group1, Group2, Group14, ECP256, ECP384 dan Group24. Group15 tidak muncul dalam set berdokumen itu, yang bermaksud parameter tidak dapat menyatakan kumpulan yang diminta daripada anda. Ini had antara muka dan bukan kenyataan tentang kumpulan mana yang disokong protokol.
Memberikan ejaan yang tidak disenaraikan, integer atau rentetan dasar yang disalin tidak meluaskan penghitungan. Semak rujukan untuk versi Windows yang benar-benar anda gunakan, dan jika kumpulan tidak tersedia, hasil yang jujur ialah dasar lain yang diluluskan atau klien lain.
Asingkan DHGroup, PfsGroup dan jenis sijil
DHGroup memilih kumpulan untuk pertukaran kunci IKE, dan PfsGroup mengawal kerahsiaan ke hadapan untuk persatuan trafik terlindung yang menyusul. Ia medan berasingan, jadi menetapkan satu dengan betul tidak memberitahu apa-apa tentang yang lain. Kunci RSA atau ECDSA sijil ialah sifat ketiga, dan ia tergolong dalam pengesahan dan bukan pertukaran efemeral. Satu profil boleh jadi betul dalam satu lapisan dan salah dalam lapisan lain, dan sambungan yang berjaya tidak akan mendedahkan yang mana.
Laporan bahawa jenis sijil tertentu memaksa kumpulan ECP pada setiap sambungan IKEv2 menerangkan satu kombinasi tetapan. Ia tidak menetapkan peraturan protokol, dan memperlakukannya sebagai peraturan ialah cara keanehan tempatan menjadi dasar.
Baca kumpulan yang dirundingkan oleh gerbang
Modul VpnClient menawarkan Set-VpnConnectionIPsecConfiguration sebagai antara muka tulis sahaja, dan tiada Get- cmdlet yang sepadan membaca dasar itu semula pada hos. Catat nilai DHGroup dan PfsGroup yang anda gunakan, kemudian baca pada gerbang apa yang sebenarnya digunakan oleh pertukaran. Jalankan arahan selepas sambungan baharu dan bukan selepas penyambungan semula yang menggunakan semula persatuan lama.
swanctl --list-sas
ipsec statusallProfil yang melaporkan Group24 manakala gerbang melaporkan modp2048s256 adalah konsisten, kerana kedua-duanya kumpulan yang sama dalam dua kosa kata. Gerbang yang melaporkan modp3072 manakala profil menyebut Group24 tidak konsisten, dan satu hujung tidak menguatkuasakan apa yang anda percaya. Baris sijil menjawab soalan pengesahan yang berasingan, dan medan PFS menjawab soalan ketiga. Bandingkan ketiga-tiganya sebelum menulis nota pematuhan.
Catat kumpulan yang diminta, kumpulan yang dirundingkan dan antara muka yang menerima atau menolak tetapan itu. Trio itulah yang diperlukan oleh penyemak, dan tiada satu pun daripadanya boleh disimpulkan daripada nama dasar.