Windows VPN Group24 vs MODP3072: welke groep hebt u nodig?
Groepsnummers zijn registervermeldingen, geen rangorde naar grootte. Koppel de naam aan de bijbehorende parameters en controleer daarna welke groepen de Windows-parameter kan uitdrukken.
Group24 en MODP3072 zijn beide namen voor een sleuteluitwisselingsgroep, en het zijn niet dezelfde groep met verschillende sterkte. Group24 combineert een modulus van 2048 bits met een ondergroep van priemorde van 256 bits, terwijl MODP3072 de 3072-bits groep 15 is. Een van beide kiezen terwijl de andere was opgegeven, verandert de eis in plaats van hem te vervullen. Vier dingen bepalen de uitkomst, en geen ervan vereist vertrouwen in een naam die erop lijkt.
Het nummer is een registervermelding, geen rang
IANA nummert sleuteluitwisselingsgroepen in de volgorde waarin ze zijn geregistreerd, dus een hoger nummer betekent een latere registervermelding en niet een sterkere groep. Groep 14 is 2048-bits MODP, groep 15 is 3072-bits MODP, en groep 24 combineert een modulus van 2048 bits met een ondergroep van priemorde van 256 bits. De identificatie als grootterangorde lezen levert precies de fout op om 24 als een grotere 15 te behandelen. De naam is een etiket, en de parameters erachter zijn wat de onderhandeling werkelijk gebruikt.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Groepen op elliptische krommen voegen hun eigen verwarring toe, omdat het bitaantal van een kromme een veld beschrijft en geen modulus. P-384 vergelijken met een groep over een eindig veld van 3072 bits alsof de getallen hetzelfde meten, zegt u niets.
Wat de Windows-opsomming kan uitdrukken
Het IKE-register en de Windows-clientparameter zijn verschillende interfaces met verschillende vocabularia. De VpnClient-cmdletreferentie van Microsoft documenteert dat DHGroup None, Group1, Group2, Group14, ECP256, ECP384 en Group24 accepteert. Group15 komt in die gedocumenteerde set niet voor, wat betekent dat de parameter de gevraagde groep niet kan uitdrukken. Dat is een beperking van de interface en geen uitspraak over welke groepen het protocol ondersteunt.
Een niet-vermelde spelling, een geheel getal of een gekopieerde beleidsreeks opgeven breidt de opsomming niet uit. Controleer de referentie voor de Windows-versie die u daadwerkelijk uitrolt, en als de groep niet beschikbaar is, is de eerlijke uitkomst een ander goedgekeurd beleid of een andere client.
Houd DHGroup, PfsGroup en certificaattype gescheiden
DHGroup selecteert de groep voor de IKE-sleuteluitwisseling, en PfsGroup regelt forward secrecy voor de beveiligde verkeersassociaties die volgen. Het zijn afzonderlijke velden, dus het ene correct instellen zegt niets over het andere. De RSA- of ECDSA-sleutel van het certificaat is een derde eigenschap en hoort bij authenticatie, niet bij de efemere uitwisseling. Eén profiel kan daarom in de ene laag juist en in een andere onjuist zijn, en een geslaagde verbinding onthult niet welke.
Meldingen dat een bepaald certificaattype op elke IKEv2-verbinding een ECP-groep afdwong, beschrijven één combinatie van instellingen. Ze vestigen geen regel van het protocol, en ze als regel behandelen is de manier waarop een lokale eigenaardigheid beleid wordt.
Lees de groep die de gateway heeft onderhandeld
De VpnClient-module biedt Set-VpnConnectionIPsecConfiguration als een alleen-schrijven-interface, en er is geen bijbehorende Get--cmdlet die dat beleid op de host terugleest. Noteer de DHGroup- en PfsGroup-waarden die u hebt toegepast en lees daarna op de gateway wat de uitwisseling werkelijk gebruikte. Voer de opdrachten uit na een nieuwe verbinding en niet na een herverbinding die een oude associatie hergebruikte.
swanctl --list-sas
ipsec statusallEen profiel dat Group24 meldt terwijl de gateway modp2048s256 meldt, is consistent, want dat is dezelfde groep in twee vocabularia. Een gateway die modp3072 meldt terwijl het profiel Group24 zegt, is niet consistent, en één uiteinde handhaaft niet wat u denkt. De certificaatregel beantwoordt de aparte authenticatievraag, en het PFS-veld de derde. Vergelijk alle drie voordat u een compliancenotitie schrijft.
Noteer de gevraagde groep, de onderhandelde groep en de interface die de instelling accepteerde of weigerde. Dat drietal is wat een beoordelaar nodig heeft, en niets ervan kan uit de beleidsnaam worden afgeleid.