Windows VPN Group24 vs MODP3072: kva gruppe treng du?
Gruppenummer er registeroppføringar, ikkje ei rangering etter storleik. Knytt namnet til parametrane, og kontroller deretter kva grupper Windows-parameteren kan uttrykkje.
Group24 og MODP3072 er begge namn på ei nøkkelutvekslingsgruppe, og dei er ikkje den same gruppa i ulik styrke. Group24 kombinerer eit modulus på 2048 bit med ei undergruppe av primtalsorden på 256 bit, medan MODP3072 er den 3072-bits gruppe 15. Å velje den eine når den andre var angitt endrar kravet i staden for å oppfylle det. Fire ting avgjer resultatet, og ingen av dei krev at ein stolar på eit namn som liknar.
Talet er ein registeroppføring, ikkje ein rang
IANA nummererer nøkkelutvekslingsgrupper i den rekkjefølgja dei vart registrerte, så eit høgare tal tyder ein seinare registeroppføring og ikkje ei sterkare gruppe. Gruppe 14 er 2048-bits MODP, gruppe 15 er 3072-bits MODP, og gruppe 24 kombinerer eit modulus på 2048 bit med ei undergruppe av primtalsorden på 256 bit. Å lese identifikatoren som ei storleiksrangering gir nøyaktig feilen å handsame 24 som ein større 15. Namnet er ein etikett, og parametrane bak det er det forhandlinga faktisk brukar.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupper på elliptiske kurver legg til si eiga forvirring, fordi bittalet til ei kurve skildrar eit felt og ikkje eit modulus. Å samanlikne P-384 med ei gruppe over eit endeleg felt på 3072 bit som om tala målte same tingen fortel deg ingenting.
Kva Windows-oppramsinga kan uttrykkje
IKE-registeret og Windows-klientparameteren er ulike grensesnitt med ulike ordforråd. VpnClient-cmdlet-referansen til Microsoft dokumenterer at DHGroup godtek None, Group1, Group2, Group14, ECP256, ECP384 og Group24. Group15 førekjem ikkje i det dokumenterte settet, noko som tyder at parameteren ikkje kan uttrykkje gruppa du vart beden om. Dette er ei avgrensing i grensesnittet og ikkje ei utsegn om kva grupper protokollen støttar.
Å oppgi ein ikkje-oppramsa stavemåte, eit heiltal eller ein kopiert policytekst utvidar ikkje oppramsinga. Sjekk referansen for Windows-versjonen du faktisk distribuerer, og om gruppa ikkje er tilgjengeleg, er det ærlege resultatet ein annan godkjend policy eller ein annan klient.
Hald DHGroup, PfsGroup og sertifikattypen frå kvarandre
DHGroup vel gruppa for IKE-nøkkelutvekslinga, og PfsGroup styrer forward secrecy for dei verna trafikkassosiasjonane som følgjer. Dei er separate felt, så rett innstilling av det eine seier ingenting om det andre. RSA- eller ECDSA-nøkkelen til sertifikatet er ein tredje eigenskap og høyrer til autentisering, ikkje til den efemere utvekslinga. Éin profil kan derfor vere rett i eitt lag og feil i eit anna, og ei vellukka tilkopling avslører ikkje kva.
Rapportar om at ein bestemd sertifikattype tvinga ei ECP-gruppe på kvar IKEv2-tilkopling, skildrar éin kombinasjon av innstillingar. Dei fastslår ikkje ein regel i protokollen, og å handsame dei som ein regel er måten ein lokal særeigenheit vert policy.
Les gruppa gatewayen forhandla
VpnClient-modulen tilbyr Set-VpnConnectionIPsecConfiguration som eit grensesnitt berre for skriving, og det finst ingen tilsvarande Get--cmdlet som les policyen tilbake på verten. Noter DHGroup- og PfsGroup-verdiane du brukte, og les deretter på gatewayen kva utvekslinga faktisk brukte. Køyr kommandoane etter ei ny tilkopling og ikkje etter ei gjenoppkopling som brukte ein gamal assosiasjon om att.
swanctl --list-sas
ipsec statusallEin profil som rapporterer Group24 medan gatewayen rapporterer modp2048s256, er konsistent, sidan det er same gruppa i to ordforråd. Ein gateway som rapporterer modp3072 medan profilen seier Group24, er ikkje konsistent, og éin endepunkt handhevar ikkje det du trur. Sertifikatlinja svarar på det separate autentiseringsspørsmålet, og PFS-feltet svarar på det tredje. Samanlikn alle tre før du skriv eit samsvarsnotat.
Noter den førespurde gruppa, den forhandla gruppa og grensesnittet som godtok eller avviste innstillinga. Den trioen er det ein gjennomgåar treng, og ingenting av det kan utleiast frå policynamnet.