Windows VPN Group24 kundrejt MODP3072: cila grup ju nevojitet?
Numrat e grupeve janë zëra regjistri, jo një renditje sipas madhësisë. Lidhni emrin me parametrat e tij, pastaj kontrolloni cilat grupe mund të shprehë parametri i Windows.
Group24 dhe MODP3072 janë të dy emra të një grupi shkëmbimi çelësash, dhe nuk janë i njëjti grup me forca të ndryshme. Group24 kombinon një modul 2048-bitësh me një nëngrup të rendit të thjeshtë 256-bitësh, ndërsa MODP3072 është grupi 15 prej 3072 bitësh. Zgjedhja e njërit kur ishte specifikuar tjetri ndryshon kërkesën në vend që ta plotësojë atë. Rezultatin e vendosin katër gjëra, dhe asnjëra prej tyre nuk kërkon t'i besosh një emri që duket i ngjashëm.
Numri është zë regjistri, jo gradë
IANA i numëron grupet e shkëmbimit të çelësave sipas rendit të regjistrimit, kështu që një numër më i madh nënkupton një zë regjistri më të vonë dhe jo një grup më të fortë. Grupi 14 është MODP 2048-bitësh, grupi 15 është MODP 3072-bitësh, dhe grupi 24 kombinon një modul 2048-bitësh me një nëngrup të rendit të thjeshtë 256-bitësh. Leximi i identifikuesit si renditje sipas madhësisë prodhon pikërisht gabimin që 24 të merret si 15 më i madh. Emri është etiketë, dhe parametrat prapa tij janë ajo që negociata përdor në të vërtetë.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupet në kthesa eliptike shtojnë konfuzionin e tyre, sepse numri i biteve të një kthese përshkruan një fushë dhe jo një modul. Krahasimi i P-384 me një grup fushe të fundme 3072-bitësh sikur numrat të matin të njëjtën gjë nuk ju thotë asgjë.
Çfarë mund të shprehë numërimi i Windows
Regjistri IKE dhe parametri i klientit të Windows janë ndërfaqe të ndryshme me fjalorë të ndryshëm. Referenca e cmdlet-it VpnClient e Microsoft dokumenton se DHGroup pranon None, Group1, Group2, Group14, ECP256, ECP384 dhe Group24. Group15 nuk shfaqet në atë grup të dokumentuar, që do të thotë se parametri nuk mund të shprehë grupin që ju është kërkuar. Ky është një kufizim i ndërfaqes dhe jo një deklaratë se cilat grupe mbështet protokolli.
Dhënia e një drejtshkrimi të palistuar, e një numri të plotë ose e një vargu politike të kopjuar nuk e zgjeron numërimin. Kontrolloni referencën për versionin e Windows që vendosni në të vërtetë, dhe nëse grupi nuk është i disponueshëm, rezultati i ndershëm është një politikë tjetër e miratuar ose një klient tjetër.
Mbani DHGroup, PfsGroup dhe llojin e certifikatës veçmas
DHGroup zgjedh grupin për shkëmbimin e çelësave IKE, dhe PfsGroup drejton fshehtësinë përpara për shoqatat e trafikut të mbrojtur që vijnë më pas. Janë fusha të veçanta, prandaj vendosja e saktë e njërës nuk thotë asgjë për tjetrën. Çelësi RSA ose ECDSA i certifikatës është vetia e tretë, dhe i përket vërtetimit dhe jo shkëmbimit efemer. Një profil i vetëm mund të jetë pra i saktë në një shtresë dhe i gabuar në një tjetër, dhe një lidhje e suksesshme nuk do të zbulojë në cilën.
Raportet se një lloj i caktuar certifikate imponoi një grup ECP në çdo lidhje IKEv2 përshkruajnë një kombinim cilësimesh. Ato nuk vendosin një rregull të protokollit, dhe trajtimi i tyre si rregull është mënyra se si një veçanti lokale bëhet politikë.
Lexoni grupin që negocioi porta
Moduli VpnClient ofron Set-VpnConnectionIPsecConfiguration si ndërfaqe vetëm-shkrim, dhe nuk ka Get- cmdlet përkatës që lexon atë politikë prapa në host. Shënoni vlerat e DHGroup dhe PfsGroup që keni aplikuar, pastaj lexoni në portë se çfarë përdori në të vërtetë shkëmbimi. Ekzekutoni komandat pas një lidhjeje të re dhe jo pas një rilidhjeje që ripërdori një shoqatë të vjetër.
swanctl --list-sas
ipsec statusallNjë profil që raporton Group24 ndërsa porta raporton modp2048s256 është i qëndrueshëm, sepse është i njëjti grup në dy fjalorë. Një portë që raporton modp3072 ndërsa profili thotë Group24 nuk është e qëndrueshme, dhe një skaj nuk po zbaton atë që ju mendoni. Rreshti i certifikatës përgjigjet pyetjes së veçantë të vërtetimit, dhe fusha PFS të tretës. Krahasoni të treja para se të shkruani një shënim përputhshmërie.
Shënoni grupin e kërkuar, grupin e negociuar dhe ndërfaqen që pranoi ose refuzoi cilësimin. Ky treshe është ajo që i duhet një recensuesi, dhe asgjë prej saj nuk mund të nxirret nga emri i politikës.