Windows VPN Group24 vs MODP3072: तपाईंलाई कुन समूह चाहिन्छ?
समूह नम्बरहरू दर्ता प्रविष्टिहरू हुन्, आकारअनुसारको श्रेणी होइन। नामलाई यसका प्यारामिटरहरूसँग जोड्नुहोस्, त्यसपछि Windows प्यारामिटरले कुन समूहहरू व्यक्त गर्न सक्छ भनी जाँच्नुहोस्।
Group24 र MODP3072 दुवै कुञ्जी-विनिमय समूहका नाम हुन्, र ती फरक शक्तिका एउटै समूह होइनन्। Group24 ले 2048-बिट मोड्युलसलाई 256-बिट अभाज्य-क्रम उपसमूहसँग जोड्छ, जबकि MODP3072 3072 बिटको समूह 15 हो। अर्को निर्दिष्ट हुँदा एउटा छान्नु आवश्यकता पूरा गर्नुको सट्टा बदल्नु हो। नतिजा चार कुराले निर्धारण गर्छन्, र तीमध्ये कुनैले पनि मिल्दोजुल्दो देखिने नाममा भरोसा गर्न माग गर्दैन।
नम्बर दर्ता प्रविष्टि हो, श्रेणी होइन
IANA ले कुञ्जी-विनिमय समूहहरूलाई तिनीहरू दर्ता भएको क्रममा नम्बर गर्छ, त्यसैले ठूलो नम्बर भन्नाले पछिको दर्ता प्रविष्टि हो, बलियो समूह होइन। समूह 14 2048-बिट MODP हो, समूह 15 3072-बिट MODP हो, र समूह 24 ले 2048-बिट मोड्युलसलाई 256-बिट अभाज्य-क्रम उपसमूहसँग जोड्छ। पहिचानकर्तालाई आकार-श्रेणीका रूपमा पढ्नुले 24 लाई 15 भन्दा ठूलो मान्ने त्यही गल्ती उत्पन्न गर्छ। नाम एउटा लेबल हो, र त्यसपछाडिका प्यारामिटरहरू नै वार्ताले वास्तवमा प्रयोग गर्ने हुन्।
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
दीर्घवृत्तीय वक्र समूहहरूले आफ्नै अलमल थप्छन्, किनकि वक्रको बिट-सङ्ख्याले क्षेत्रको वर्णन गर्छ, मोड्युलसको होइन। P-384 लाई 3072-बिट सीमित-क्षेत्र समूहसँग, संख्याहरूले एउटै कुरा नापेझैं तुलना गर्नुले तपाईंलाई केही भन्दैन।
Windows को गणनाले के व्यक्त गर्न सक्छ
IKE दर्ता र Windows क्लाइन्ट प्यारामिटर फरक शब्दावली भएका फरक इन्टरफेस हुन्। Microsoft को VpnClient cmdlet सन्दर्भ ले DHGroup ले None, Group1, Group2, Group14, ECP256, ECP384 र Group24 स्वीकार गर्छ भनी अभिलेख गर्छ। Group15 त्यो अभिलेखित समूहमा देखिँदैन, जसको अर्थ प्यारामिटरले तपाईंबाट मागिएको समूह व्यक्त गर्न सक्दैन। यो इन्टरफेसको सीमा हो, प्रोटोकलले कुन समूहहरूलाई समर्थन गर्छ भन्ने कथन होइन।
सूचीमा नभएको हिज्जे, पूर्णांक वा प्रतिलिपि गरिएको नीति स्ट्रिङ दिनुले गणना विस्तार गर्दैन। तपाईंले वास्तवमा तैनाथ गर्ने Windows संस्करणका लागि सन्दर्भ जाँच्नुहोस्, र यदि समूह उपलब्ध छैन भने इमानदार नतिजा अर्को स्वीकृत नीति वा अर्को क्लाइन्ट हो।
DHGroup, PfsGroup र प्रमाणपत्र प्रकार अलग राख्नुहोस्
DHGroup ले IKE कुञ्जी-विनिमयका लागि समूह छान्छ, र PfsGroup ले त्यसपछि आउने संरक्षित-ट्राफिक संलग्नताहरूका लागि अगाडिको गोपनीयता नियन्त्रण गर्छ। यी छुट्टै फिल्ड हुन्, त्यसैले एउटा सही रूपमा सेट गर्नुले अर्कोबारे केही भन्दैन। प्रमाणपत्रको RSA वा ECDSA कुञ्जी तेस्रो गुण हो, र त्यो प्रमाणीकरणसँग सम्बन्धित छ, क्षणिक विनिमयसँग होइन। त्यसैले एउटा प्रोफाइल एउटा तहमा सही र अर्कोमा गलत हुन सक्छ, र सफल जडानले कुन हो भनी खुलाउँदैन।
कुनै विशेष प्रमाणपत्र प्रकारले प्रत्येक IKEv2 जडानमा ECP समूह थोपरेको भन्ने रिपोर्टहरूले सेटिङहरूको एउटा संयोजन वर्णन गर्छन्। तिनीहरूले प्रोटोकलको नियम स्थापित गर्दैनन्, र तिनलाई नियम मान्नु स्थानीय विचित्रता नीति बन्ने बाटो हो।
गेटवेले वार्ता गरेको समूह पढ्नुहोस्
VpnClient मोड्युलले Set-VpnConnectionIPsecConfiguration लाई लेखन-मात्र इन्टरफेसका रूपमा दिन्छ, र होस्टमा त्यो नीति फर्केर पढ्ने कुनै मिल्ने Get- cmdlet छैन। तपाईंले लागू गरेका DHGroup र PfsGroup मानहरू अभिलेख गर्नुहोस्, त्यसपछि गेटवेमा विनिमयले वास्तवमा के प्रयोग गर्यो पढ्नुहोस्। आदेशहरू नयाँ जडानपछि चलाउनुहोस्, पुरानो संलग्नता पुनः प्रयोग गर्ने पुनःजडानपछि होइन।
swanctl --list-sas
ipsec statusallप्रोफाइलले Group24 रिपोर्ट गर्दा गेटवेले modp2048s256 रिपोर्ट गर्नु सुसंगत छ, किनकि ती दुई शब्दावलीमा एउटै समूह हुन्। गेटवेले modp3072 रिपोर्ट गर्दा प्रोफाइलले Group24 भन्नु सुसंगत छैन, र एउटा छेउले तपाईंले सोचेको कुरा लागू गरिरहेको छैन। प्रमाणपत्रको लाइनले छुट्टै प्रमाणीकरण प्रश्नको उत्तर दिन्छ, र PFS फिल्डले तेस्रोको। अनुपालन टिप्पणी लेख्नुअघि तीनवटैको तुलना गर्नुहोस्।
मागिएको समूह, वार्तामा तय भएको समूह र सेटिङ स्वीकार वा अस्वीकार गर्ने इन्टरफेस अभिलेख गर्नुहोस्। त्यही त्रिक समीक्षकलाई चाहिन्छ, र त्यसको केही पनि नीतिको नामबाट अनुमान गर्न सकिँदैन।