Windows VPN Group24 proti MODP3072: katero skupino potrebujete?
Številke skupin so vpisi v registru, ne razvrščanje po velikosti. Povežite ime z njegovimi parametri, nato preverite, katere skupine lahko izrazi parameter Windows.
Group24 in MODP3072 sta obe imeni skupine za izmenjavo ključev in nista ista skupina z različno močjo. Group24 združuje modul z 2048 biti s podskupino praštevilskega reda s 256 biti, medtem ko je MODP3072 skupina 15 s 3072 biti. Izbira ene, ko je bila določena druga, spremeni zahtevo, namesto da bi jo izpolnila. Izid določajo štiri stvari in nobena od njih ne zahteva zaupanja podobno videči se imeni.
Številka je vpis v register, ne rang
IANA številči skupine za izmenjavo ključev po vrstnem redu registracije, zato večja številka pomeni poznejši vpis v register in ne močnejše skupine. Skupina 14 je MODP z 2048 biti, skupina 15 je MODP s 3072 biti, skupina 24 pa združuje modul z 2048 biti s podskupino praštevilskega reda s 256 biti. Branje identifikatorja kot razvrščanja po velikosti ustvari natanko tisto napako, ko se 24 šteje za večjo od 15. Ime je oznaka, parametri za njim pa so tisto, kar pogajanja dejansko uporabljajo.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Skupine na eliptičnih krivuljah dodajo svojo zmedo, ker število bitov krivulje opisuje polje in ne modula. Primerjava P-384 s skupino končnega polja s 3072 biti, kot da bi števila merila isto stvar, vam ne pove ničesar.
Kaj lahko izrazi naštevanje Windows
Register IKE in parameter odjemalca Windows sta različna vmesnika z različnima slovarjema. Referenca ukaza cmdlet VpnClient družbe Microsoft navaja, da DHGroup sprejema None, Group1, Group2, Group14, ECP256, ECP384 in Group24. Group15 se v tej dokumentirani množici ne pojavi, kar pomeni, da parameter ne more izraziti zahtevane skupine. To je omejitev vmesnika in ne trditev o tem, katere skupine protokol podpira.
Navedba nenavedene pisave, celega števila ali kopiranega niza pravilnika naštevanja ne razširi. Preverite referenco za različico Windows, ki jo dejansko uvajate, in če skupina ni na voljo, je pošten izid drug odobren pravilnik ali drug odjemalec.
Ohranite DHGroup, PfsGroup in vrsto potrdila ločeno
DHGroup izbere skupino za izmenjavo ključev IKE, PfsGroup pa upravlja tajnost naprej za asociacije zaščitenega prometa, ki sledijo. To so ločena polja, zato pravilna nastavitev enega ne pove ničesar o drugem. Ključ RSA ali ECDSA potrdila je tretja lastnost in spada k preverjanju pristnosti, ne k efemerni izmenjavi. Zato je lahko en profil v enem sloju pravilen in v drugem napačen, uspešna povezava pa ne bo razkrila, v katerem.
Poročila, da je določena vrsta potrdila vsilila skupino ECP pri vsaki povezavi IKEv2, opisujejo eno kombinacijo nastavitev. Ne vzpostavljajo pravila protokola in obravnavanje teh poročil kot pravila je pot, po kateri lokalna posebnost postane pravilnik.
Preberite skupino, o kateri se je pogajal prehod
Modul VpnClient ponuja Set-VpnConnectionIPsecConfiguration kot vmesnik samo za pisanje, na gostitelju pa ni ustreznega ukaza cmdlet Get-, ki bi ta pravilnik prebral nazaj. Zapišite uporabljene vrednosti DHGroup in PfsGroup, nato na prehodu preberite, kaj je izmenjava dejansko uporabila. Ukaze zaženite po novi povezavi in ne po ponovni povezavi, ki je uporabila staro asociacijo.
swanctl --list-sas
ipsec statusallProfil, ki poroča Group24, medtem ko prehod poroča modp2048s256, je skladen, ker gre za isto skupino v dveh slovarjih. Prehod, ki poroča modp3072, medtem ko profil pravi Group24, ni skladen in en konec ne uveljavlja tega, kar menite. Vrstica potrdila odgovarja na ločeno vprašanje preverjanja pristnosti, polje PFS pa na tretje. Primerjajte vse tri, preden napišete opombo o skladnosti.
Zapišite zahtevano skupino, dogovorjeno skupino in vmesnik, ki je nastavitev sprejel ali zavrnil. Ta trojica je tisto, kar recenzent potrebuje, in ničesar od tega ni mogoče sklepati iz imena pravilnika.