Windows VPN Group24 vs MODP3072: de ce grup aveți nevoie?
Numerele de grup sunt intrări de registru, nu o ierarhizare după dimensiune. Asociați numele cu parametrii săi, apoi verificați ce grupuri poate exprima parametrul Windows.
Group24 și MODP3072 sunt ambele nume ale unui grup de schimb de chei, și nu sunt același grup la puteri diferite. Group24 combină un modul de 2048 biți cu un subgrup de ordin prim de 256 biți, în timp ce MODP3072 este grupul 15 de 3072 biți. Alegerea unuia când celălalt a fost specificat modifică cerința în loc să o îndeplinească. Rezultatul este decis de patru lucruri, și niciunul nu cere să aveți încredere într-un nume care pare similar.
Numărul este o intrare de registru, nu un rang
IANA numerotează grupurile de schimb de chei în ordinea în care au fost înregistrate, așa că un număr mai mare înseamnă o intrare de registru mai târzie, nu un grup mai puternic. Grupul 14 este MODP de 2048 biți, grupul 15 este MODP de 3072 biți, iar grupul 24 combină un modul de 2048 biți cu un subgrup de ordin prim de 256 biți. Citirea identificatorului ca ierarhizare după dimensiune produce exact eroarea de a trata 24 ca un 15 mai mare. Numele este o etichetă, iar parametrii din spatele lui sunt ceea ce folosește de fapt negocierea.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupurile pe curbe eliptice adaugă propria confuzie, deoarece numărul de biți al unei curbe descrie un corp, nu un modul. Compararea P-384 cu un grup de corp finit de 3072 biți ca și cum numerele ar măsura același lucru nu vă spune nimic.
Ce poate exprima enumerarea Windows
Registrul IKE și parametrul clientului Windows sunt interfețe diferite cu vocabular diferit. Referința cmdletului VpnClient de la Microsoft documentează că DHGroup acceptă None, Group1, Group2, Group14, ECP256, ECP384 și Group24. Group15 nu apare în acel set documentat, ceea ce înseamnă că parametrul nu poate exprima grupul solicitat. Aceasta este o limitare a interfeței, nu o afirmație despre ce grupuri acceptă protocolul.
Furnizarea unei ortografii nelistate, a unui întreg sau a unui șir de politică copiat nu extinde enumerarea. Verificați referința pentru versiunea de Windows pe care o implementați efectiv, iar dacă grupul nu este disponibil, rezultatul onest este o altă politică aprobată sau un alt client.
Țineți DHGroup, PfsGroup și tipul de certificat separat
DHGroup selectează grupul pentru schimbul de chei IKE, iar PfsGroup guvernează secretul înainte pentru asocierile de trafic protejat care urmează. Sunt câmpuri separate, așa că setarea corectă a unuia nu spune nimic despre celălalt. Cheia RSA sau ECDSA a certificatului este o a treia proprietate și aparține autentificării, nu schimbului efemer. Un singur profil poate deci fi corect într-un strat și greșit în altul, iar o conexiune reușită nu va dezvălui în care.
Rapoartele că un anumit tip de certificat a impus un grup ECP pe fiecare conexiune IKEv2 descriu o singură combinație de setări. Ele nu stabilesc o regulă a protocolului, iar tratarea lor ca regulă este felul în care o particularitate locală devine politică.
Citiți grupul pe care gateway-ul l-a negociat
Modulul VpnClient oferă Set-VpnConnectionIPsecConfiguration ca interfață doar de scriere, iar pe gazdă nu există un cmdlet Get- corespunzător care să recitescă acea politică. Notați valorile DHGroup și PfsGroup pe care le-ați aplicat, apoi citiți pe gateway ce a folosit de fapt schimbul. Rulați comenzile după o conexiune nouă și nu după o reconectare care a refolosit o asociere veche.
swanctl --list-sas
ipsec statusallUn profil care raportează Group24 în timp ce gateway-ul raportează modp2048s256 este coerent, deoarece este același grup în două vocabular. Un gateway care raportează modp3072 în timp ce profilul spune Group24 nu este coerent, iar un capăt nu aplică ceea ce credeți. Linia certificatului răspunde întrebării separate de autentificare, iar câmpul PFS celei de-a treia. Comparați toate trei înainte de a scrie o notă de conformitate.
Notați grupul solicitat, grupul negociat și interfața care a acceptat sau a respins setarea. Acel trio este ceea ce are nevoie un recenzent, și nimic din el nu poate fi dedus din numele politicii.