Windows VPN Group24 vs MODP3072: ਤੁਹਾਨੂੰ ਕਿਹੜਾ ਸਮੂਹ ਚਾਹੀਦਾ ਹੈ?
ਸਮੂਹ ਨੰਬਰ ਰਜਿਸਟਰੀ ਐਂਟਰੀਆਂ ਹਨ, ਆਕਾਰ ਅਨੁਸਾਰ ਦਰਜਾਬੰਦੀ ਨਹੀਂ। ਨਾਮ ਨੂੰ ਇਸ ਦੇ ਪੈਰਾਮੀਟਰਾਂ ਨਾਲ ਜੋੜੋ, ਫਿਰ ਜਾਂਚੋ ਕਿ Windows ਪੈਰਾਮੀਟਰ ਕਿਹੜੇ ਸਮੂਹ ਵਿਅਕਤ ਕਰ ਸਕਦਾ ਹੈ।
Group24 ਅਤੇ MODP3072 ਦੋਵੇਂ ਕੁੰਜੀ-ਵਟਾਂਦਰਾ ਸਮੂਹ ਦੇ ਨਾਮ ਹਨ, ਅਤੇ ਇਹ ਵੱਖਰੀ ਤਾਕਤ ਵਾਲਾ ਇੱਕੋ ਸਮੂਹ ਨਹੀਂ ਹਨ। Group24 2048-ਬਿੱਟ ਮਾਡਿਊਲਸ ਨੂੰ 256-ਬਿੱਟ ਪ੍ਰਾਈਮ-ਕ੍ਰਮ ਉਪਸਮੂਹ ਨਾਲ ਜੋੜਦਾ ਹੈ, ਜਦੋਂ ਕਿ MODP3072 3072 ਬਿੱਟ ਦਾ ਸਮੂਹ 15 ਹੈ। ਦੂਜਾ ਨਿਰਧਾਰਤ ਹੋਣ ’ਤੇ ਇੱਕ ਚੁਣਨਾ ਲੋੜ ਨੂੰ ਪੂਰਾ ਕਰਨ ਦੀ ਬਜਾਏ ਬਦਲ ਦਿੰਦਾ ਹੈ। ਨਤੀਜਾ ਚਾਰ ਗੱਲਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਮਿਲਦੇ-ਜੁਲਦੇ ਨਾਮ ’ਤੇ ਭਰੋਸਾ ਕਰਨ ਦੀ ਮੰਗ ਨਹੀਂ ਕਰਦੀ।
ਨੰਬਰ ਰਜਿਸਟਰੀ ਐਂਟਰੀ ਹੈ, ਦਰਜਾ ਨਹੀਂ
IANA ਕੁੰਜੀ-ਵਟਾਂਦਰਾ ਸਮੂਹਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀ ਰਜਿਸਟਰੇਸ਼ਨ ਦੇ ਕ੍ਰਮ ਵਿੱਚ ਨੰਬਰ ਦਿੰਦਾ ਹੈ, ਇਸ ਲਈ ਵੱਡਾ ਨੰਬਰ ਬਾਅਦ ਦੀ ਰਜਿਸਟਰੀ ਐਂਟਰੀ ਦਰਸਾਉਂਦਾ ਹੈ, ਵਧੇਰੇ ਮਜ਼ਬੂਤ ਸਮੂਹ ਨਹੀਂ। ਸਮੂਹ 14 2048-ਬਿੱਟ MODP ਹੈ, ਸਮੂਹ 15 3072-ਬਿੱਟ MODP ਹੈ, ਅਤੇ ਸਮੂਹ 24 2048-ਬਿੱਟ ਮਾਡਿਊਲਸ ਨੂੰ 256-ਬਿੱਟ ਪ੍ਰਾਈਮ-ਕ੍ਰਮ ਉਪਸਮੂਹ ਨਾਲ ਜੋੜਦਾ ਹੈ। ਪਛਾਣਕਰਤਾ ਨੂੰ ਆਕਾਰ-ਦਰਜਾਬੰਦੀ ਵਜੋਂ ਪੜ੍ਹਨਾ 24 ਨੂੰ 15 ਤੋਂ ਵੱਡਾ ਮੰਨਣ ਦੀ ਉਹੀ ਗਲਤੀ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਨਾਮ ਇੱਕ ਲੇਬਲ ਹੈ, ਅਤੇ ਇਸ ਦੇ ਪਿੱਛੇ ਦੇ ਪੈਰਾਮੀਟਰ ਹੀ ਉਹ ਹਨ ਜੋ ਗੱਲਬਾਤ ਅਸਲ ਵਿੱਚ ਵਰਤਦੀ ਹੈ।
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
ਦੀਰਘਵ੍ਰੱਤੀ ਵਕਰ ਸਮੂਹ ਆਪਣੀ ਅਲੱਗ ਉਲਝਣ ਜੋੜਦੇ ਹਨ, ਕਿਉਂਕਿ ਵਕਰ ਦੀ ਬਿੱਟ-ਗਿਣਤੀ ਕਿਸੇ ਖੇਤਰ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ, ਮਾਡਿਊਲਸ ਦਾ ਨਹੀਂ। P-384 ਦੀ 3072-ਬਿੱਟ ਸੀਮਿਤ-ਖੇਤਰ ਸਮੂਹ ਨਾਲ ਤੁਲਨਾ ਕਰਨਾ, ਜਿਵੇਂ ਸੰਖਿਆਵਾਂ ਇੱਕੋ ਚੀਜ਼ ਮਾਪ ਰਹੀਆਂ ਹੋਣ, ਤੁਹਾਨੂੰ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ।
Windows ਦੀ ਗਿਣਤੀ ਕੀ ਵਿਅਕਤ ਕਰ ਸਕਦੀ ਹੈ
IKE ਰਜਿਸਟਰੀ ਅਤੇ Windows ਕਲਾਇੰਟ ਪੈਰਾਮੀਟਰ ਵੱਖਰੀ ਸ਼ਬਦਾਵਲੀ ਵਾਲੇ ਵੱਖਰੇ ਇੰਟਰਫੇਸ ਹਨ। Microsoft ਦਾ VpnClient cmdlet ਸੰਦਰਭ ਦਰਜ ਕਰਦਾ ਹੈ ਕਿ DHGroup None, Group1, Group2, Group14, ECP256, ECP384 ਅਤੇ Group24 ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। Group15 ਉਸ ਦਰਜ ਕੀਤੇ ਸਮੂਹ ਵਿੱਚ ਨਹੀਂ ਆਉਂਦਾ, ਜਿਸ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਪੈਰਾਮੀਟਰ ਤੁਹਾਡੇ ਤੋਂ ਮੰਗਿਆ ਸਮੂਹ ਵਿਅਕਤ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਇਹ ਇੰਟਰਫੇਸ ਦੀ ਸੀਮਾ ਹੈ, ਪ੍ਰੋਟੋਕੋਲ ਕਿਹੜੇ ਸਮੂਹਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਇਸ ਦਾ ਬਿਆਨ ਨਹੀਂ।
ਸੂਚੀ ਵਿੱਚ ਨਾ ਹੋਣ ਵਾਲੀ ਸਪੈਲਿੰਗ, ਪੂਰਨ ਅੰਕ ਜਾਂ ਕਾਪੀ ਕੀਤੀ ਨੀਤੀ ਸਤਰ ਦੇਣਾ ਗਿਣਤੀ ਦਾ ਵਿਸਤਾਰ ਨਹੀਂ ਕਰਦਾ। ਜਿਸ Windows ਸੰਸਕਰਣ ਨੂੰ ਤੁਸੀਂ ਅਸਲ ਵਿੱਚ ਤੈਨਾਤ ਕਰਦੇ ਹੋ ਉਸ ਲਈ ਸੰਦਰਭ ਵੇਖੋ, ਅਤੇ ਜੇ ਸਮੂਹ ਉਪਲਬਧ ਨਹੀਂ ਹੈ, ਤਾਂ ਇਮਾਨਦਾਰ ਨਤੀਜਾ ਕੋਈ ਹੋਰ ਮਨਜ਼ੂਰ ਨੀਤੀ ਜਾਂ ਕੋਈ ਹੋਰ ਕਲਾਇੰਟ ਹੈ।
DHGroup, PfsGroup ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਨੂੰ ਵੱਖਰਾ ਰੱਖੋ
DHGroup IKE ਕੁੰਜੀ-ਵਟਾਂਦਰੇ ਲਈ ਸਮੂਹ ਚੁਣਦਾ ਹੈ, ਅਤੇ PfsGroup ਬਾਅਦ ਆਉਣ ਵਾਲੀਆਂ ਸੁਰੱਖਿਅਤ-ਟ੍ਰੈਫਿਕ ਸੰਲਗਨਤਾਵਾਂ ਲਈ ਅੱਗੇ ਵੱਲ ਗੁਪਤਤਾ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ। ਇਹ ਵੱਖਰੇ ਫੀਲਡ ਹਨ, ਇਸ ਲਈ ਇੱਕ ਨੂੰ ਸਹੀ ਸੈੱਟ ਕਰਨਾ ਦੂਜੇ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। ਸਰਟੀਫਿਕੇਟ ਦੀ RSA ਜਾਂ ECDSA ਕੁੰਜੀ ਤੀਜੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ, ਅਤੇ ਇਹ ਪ੍ਰਮਾਣਿਕਤਾ ਨਾਲ ਸਬੰਧਤ ਹੈ, ਥੋੜ੍ਹਚਿਰੇ ਵਟਾਂਦਰੇ ਨਾਲ ਨਹੀਂ। ਇਸ ਲਈ ਇੱਕ ਪ੍ਰੋਫਾਈਲ ਇੱਕ ਪਰਤ ਵਿੱਚ ਸਹੀ ਅਤੇ ਦੂਜੀ ਵਿੱਚ ਗਲਤ ਹੋ ਸਕਦੀ ਹੈ, ਅਤੇ ਸਫਲ ਕਨੈਕਸ਼ਨ ਇਹ ਨਹੀਂ ਦੱਸੇਗਾ ਕਿ ਕਿਹੜੀ।
ਕੁਝ ਖਾਸ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਨੇ ਹਰ IKEv2 ਕਨੈਕਸ਼ਨ ’ਤੇ ECP ਸਮੂਹ ਥੋਪਿਆ, ਅਜਿਹੀਆਂ ਰਿਪੋਰਟਾਂ ਸੈਟਿੰਗਾਂ ਦਾ ਇੱਕ ਸੰਜੋਗ ਬਿਆਨ ਕਰਦੀਆਂ ਹਨ। ਉਹ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਨਿਯਮ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦੀਆਂ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਨਿਯਮ ਮੰਨਣਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਸਥਾਨਕ ਅਜੀਬਤਾ ਨੀਤੀ ਬਣ ਜਾਂਦੀ ਹੈ।
ਗੇਟਵੇ ਨੇ ਜਿਸ ਸਮੂਹ ’ਤੇ ਗੱਲਬਾਤ ਕੀਤੀ ਉਸਨੂੰ ਪੜ੍ਹੋ
VpnClient ਮੌਡਿਊਲ Set-VpnConnectionIPsecConfiguration ਨੂੰ ਸਿਰਫ਼-ਲਿਖਣ ਇੰਟਰਫੇਸ ਵਜੋਂ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਹੋਸਟ ’ਤੇ ਉਸ ਨੀਤੀ ਨੂੰ ਵਾਪਸ ਪੜ੍ਹਨ ਵਾਲਾ ਕੋਈ ਮੇਲ ਖਾਂਦਾ Get- cmdlet ਨਹੀਂ ਹੈ। ਤੁਸੀਂ ਲਾਗੂ ਕੀਤੇ DHGroup ਅਤੇ PfsGroup ਮੁੱਲ ਦਰਜ ਕਰੋ, ਫਿਰ ਗੇਟਵੇ ’ਤੇ ਪੜ੍ਹੋ ਕਿ ਵਟਾਂਦਰੇ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਵਰਤਿਆ। ਹੁਕਮ ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਤੋਂ ਬਾਅਦ ਚਲਾਓ, ਪੁਰਾਣੀ ਸੰਲਗਨਤਾ ਮੁੜ ਵਰਤਣ ਵਾਲੇ ਮੁੜ-ਕਨੈਕਸ਼ਨ ਤੋਂ ਬਾਅਦ ਨਹੀਂ।
swanctl --list-sas
ipsec statusallਪ੍ਰੋਫਾਈਲ Group24 ਦੱਸਦੀ ਹੈ ਜਦੋਂ ਕਿ ਗੇਟਵੇ modp2048s256 ਦੱਸਦਾ ਹੈ ਤਾਂ ਇਹ ਸੁਸੰਗਤ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਦੋ ਸ਼ਬਦਾਵਲੀਆਂ ਵਿੱਚ ਇੱਕੋ ਸਮੂਹ ਹਨ। ਗੇਟਵੇ modp3072 ਦੱਸੇ ਅਤੇ ਪ੍ਰੋਫਾਈਲ Group24 ਕਹੇ ਤਾਂ ਇਹ ਸੁਸੰਗਤ ਨਹੀਂ ਹੈ, ਅਤੇ ਇੱਕ ਸਿਰਾ ਉਹ ਲਾਗੂ ਨਹੀਂ ਕਰ ਰਿਹਾ ਜੋ ਤੁਸੀਂ ਮੰਨਦੇ ਹੋ। ਸਰਟੀਫਿਕੇਟ ਦੀ ਲਾਈਨ ਵੱਖਰੇ ਪ੍ਰਮਾਣਿਕਤਾ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ, ਅਤੇ PFS ਫੀਲਡ ਤੀਜੇ ਦਾ। ਅਨੁਪਾਲਨ ਨੋਟ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਤਿੰਨਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ।
ਮੰਗਿਆ ਸਮੂਹ, ਗੱਲਬਾਤ ਵਿੱਚ ਤੈਅ ਸਮੂਹ ਅਤੇ ਸੈਟਿੰਗ ਸਵੀਕਾਰ ਜਾਂ ਰੱਦ ਕਰਨ ਵਾਲਾ ਇੰਟਰਫੇਸ ਦਰਜ ਕਰੋ। ਇਹੀ ਤ੍ਰਿਕ ਸਮੀਖਿਅਕ ਨੂੰ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਨੀਤੀ ਦੇ ਨਾਮ ਤੋਂ ਅਨੁਮਾਨਿਤ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ।