Windows VPN Group24 vs MODP3072: qual grupo você precisa?
Números de grupo são entradas de registro, não uma classificação por tamanho. Relacione o nome aos seus parâmetros e depois verifique quais grupos o parâmetro do Windows consegue expressar.
Group24 e MODP3072 são ambos nomes de um grupo de troca de chaves, e não são o mesmo grupo com forças diferentes. Group24 combina um módulo de 2048 bits com um subgrupo de ordem prima de 256 bits, enquanto MODP3072 é o grupo 15 de 3072 bits. Escolher um quando o outro foi especificado muda o requisito em vez de cumpri-lo. Quatro coisas decidem o resultado, e nenhuma delas exige confiar em um nome que parece semelhante.
O número é uma entrada de registro, não uma posição
A IANA numera os grupos de troca de chaves na ordem em que foram registrados, então um número maior significa uma entrada de registro posterior e não um grupo mais forte. O grupo 14 é MODP de 2048 bits, o grupo 15 é MODP de 3072 bits, e o grupo 24 combina um módulo de 2048 bits com um subgrupo de ordem prima de 256 bits. Ler o identificador como uma classificação por tamanho produz exatamente o erro de tratar 24 como um 15 maior. O nome é um rótulo, e os parâmetros por trás dele são o que a negociação realmente usa.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupos de curva elíptica acrescentam sua própria confusão, porque a contagem de bits de uma curva descreve um corpo e não um módulo. Comparar P-384 com um grupo de corpo finito de 3072 bits como se os números medissem a mesma coisa não lhe diz nada.
O que a enumeração do Windows consegue expressar
O registro IKE e o parâmetro de cliente do Windows são interfaces diferentes com vocabulários diferentes. A referência do cmdlet VpnClient da Microsoft documenta que DHGroup aceita None, Group1, Group2, Group14, ECP256, ECP384 e Group24. Group15 não aparece nesse conjunto documentado, o que significa que o parâmetro não consegue expressar o grupo solicitado. É uma limitação da interface e não uma afirmação sobre quais grupos o protocolo suporta.
Fornecer uma grafia não listada, um inteiro ou uma cadeia de política copiada não amplia a enumeração. Verifique a referência para a versão do Windows que você realmente implanta e, se o grupo não estiver disponível, o resultado honesto é outra política aprovada ou outro cliente.
Mantenha DHGroup, PfsGroup e tipo de certificado separados
DHGroup seleciona o grupo para a troca de chaves IKE, e PfsGroup rege o sigilo encaminhado das associações de tráfego protegido que seguem. São campos separados, então configurar um corretamente não diz nada sobre o outro. A chave RSA ou ECDSA do certificado é uma terceira propriedade e pertence à autenticação, não à troca efêmera. Um único perfil pode, portanto, ser correto em uma camada e errado em outra, e uma conexão bem-sucedida não revelará em qual.
Relatos de que um tipo específico de certificado forçou um grupo ECP em todas as conexões IKEv2 descrevem uma combinação de configurações. Eles não estabelecem uma regra do protocolo, e tratá-los como regra é como uma peculiaridade local se torna política.
Leia o grupo que o gateway negociou
O módulo VpnClient oferece Set-VpnConnectionIPsecConfiguration como interface somente de escrita, e nenhum Get- cmdlet correspondente relê essa política no host. Anote os valores de DHGroup e PfsGroup que você aplicou e depois leia no gateway o que a troca realmente usou. Execute os comandos após uma conexão nova e não após uma reconexão que reutilizou uma associação antiga.
swanctl --list-sas
ipsec statusallUm perfil que relata Group24 enquanto o gateway relata modp2048s256 é coerente, pois são o mesmo grupo em dois vocabulários. Um gateway que relata modp3072 enquanto o perfil diz Group24 não é coerente, e uma extremidade não está aplicando o que você acredita. A linha do certificado responde à pergunta separada de autenticação, e o campo PFS à terceira. Compare as três antes de escrever uma nota de conformidade.
Anote o grupo solicitado, o grupo negociado e a interface que aceitou ou rejeitou a configuração. Esse trio é o que um revisor precisa, e nada dele pode ser deduzido do nome da política.