Windows VPN Group24 vs MODP3072: ktorú skupinu potrebujete?
Čísla skupín sú položky registra, nie zoraďovanie podľa veľkosti. Priraďte názov k jeho parametrom a potom skontrolujte, ktoré skupiny dokáže parameter Windows vyjadriť.
Group24 a MODP3072 sú oba názvy pre skupinu výmeny kľúčov a nie sú to rovnaké skupiny s rôznou silou. Group24 kombinuje modul s 2048 bitmi s podskupinou prvočíselného rádu s 256 bitmi, zatiaľ čo MODP3072 je skupina 15 s 3072 bitmi. Výber jednej, keď bola zadaná druhá, mení požiadavku namiesto toho, aby ju splnil. Výsledok rozhodujú štyri veci a žiadna z nich nevyžaduje dôverovať podobne vyzerajúcemu názvu.
Číslo je položka registra, nie poradie
IANA čísluje skupiny výmeny kľúčov v poradí, v akom boli registrované, takže väčšie číslo znamená neskoršiu položku registra, nie silnejšiu skupinu. Skupina 14 je MODP s 2048 bitmi, skupina 15 je MODP s 3072 bitmi a skupina 24 kombinuje modul s 2048 bitmi s podskupinou prvočíselného rádu s 256 bitmi. Čítanie identifikátora ako poradia podľa veľkosti vytvára presne tú chybu, keď sa 24 považuje za väčšiu 15. Názov je len štítok a parametre za ním sú to, čo vyjednávanie skutočne používa.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Skupiny na eliptických krivkách pridávajú vlastný zmätok, pretože počet bitov krivky opisuje teleso, nie modul. Porovnávanie P-384 so skupinou konečného telesa s 3072 bitmi, akoby čísla merali to isté, vám nič nepovie.
Čo dokáže výpočet Windows vyjadriť
Register IKE a parameter klienta Windows sú rôzne rozhrania s rôznymi slovníkmi. Referenčná dokumentácia rutiny VpnClient od Microsoftu uvádza, že DHGroup prijíma None, Group1, Group2, Group14, ECP256, ECP384 a Group24. Group15 sa v tejto dokumentovanej množine nevyskytuje, čo znamená, že parameter nedokáže vyjadriť požadovanú skupinu. Je to obmedzenie rozhrania, nie tvrdenie o tom, ktoré skupiny protokol podporuje.
Uvedenie nezaradenej pravopisnej podoby, celého čísla alebo skopírovaného reťazca zásady výpočet nerozširuje. Skontrolujte dokumentáciu pre verziu Windows, ktorú skutočne nasadzujete, a ak skupina nie je dostupná, poctivým výsledkom je iná schválená zásada alebo iný klient.
Držte DHGroup, PfsGroup a typ certifikátu oddelene
DHGroup vyberá skupinu pre výmenu kľúčov IKE a PfsGroup riadi doprednú utajenosť pre asociácie chránenej premávky, ktoré nasledujú. Sú to samostatné polia, takže správne nastavenie jedného nič nehovorí o druhom. Kľúč RSA alebo ECDSA certifikátu je tretia vlastnosť a patrí k autentizácii, nie k efemérnej výmene. Jeden profil preto môže byť v jednej vrstve správny a v inej nesprávny a úspešné pripojenie neodhalí, v ktorej.
Správy, že určitý typ certifikátu vynútil skupinu ECP pri každom pripojení IKEv2, opisujú jednu kombináciu nastavení. Nezakladajú pravidlo protokolu a ich branie ako pravidla je spôsob, akým sa z miestnej zvláštnosti stane zásada.
Prečítajte si skupinu, ktorú brána vyjednala
Modul VpnClient ponúka Set-VpnConnectionIPsecConfiguration ako rozhranie iba na zápis a na hostiteľovi neexistuje zodpovedajúca rutina Get-, ktorá by túto zásadu prečítala späť. Zaznamenajte hodnoty DHGroup a PfsGroup, ktoré ste použili, a potom na bráne prečítajte, čo výmena skutočne použila. Príkazy spúšťajte po novom pripojení, nie po opätovnom pripojení, ktoré znovu použilo starú asociáciu.
swanctl --list-sas
ipsec statusallProfil, ktorý hlási Group24, zatiaľ čo brána hlási modp2048s256, je konzistentný, pretože ide o tú istú skupinu v dvoch slovníkoch. Brána, ktorá hlási modp3072, zatiaľ čo profil hovorí Group24, konzistentná nie je a jeden koniec nevynucuje to, čo predpokladáte. Riadok certifikátu odpovedá na samostatnú otázku autentizácie a pole PFS na tretiu. Porovnajte všetky tri, než napíšete poznámku o súlade.
Zaznamenajte požadovanú skupinu, vyjednanú skupinu a rozhranie, ktoré nastavenie prijalo alebo odmietlo. To je trojica, ktorú recenzent potrebuje, a nič z nej nemožno odvodiť z názvu zásady.