Windows VPN Group24 наспрам MODP3072: која група вам је потребна?
Бројеви група су уписи у регистар, а не рангирање по величини. Повежите име са његовим параметрима, затим проверите које групе параметар Windows може да изрази.
Group24 и MODP3072 су оба називи за групу за размену кључева и нису иста група различите јачине. Group24 комбинује модул од 2048 бита са подгрупом простог реда од 256 бита, док је MODP3072 група 15 од 3072 бита. Избор једне када је наведена друга мења захтев уместо да га испуни. Исход одређују четири ствари и ниједна од њих не захтева поверење у слично име.
Број је упис у регистар, а не ранг
IANA нумерише групе за размену кључева редом којим су регистроване, па већи број значи каснији упис у регистар, а не јачу групу. Група 14 је MODP од 2048 бита, група 15 је MODP од 3072 бита, а група 24 комбинује модул од 2048 бита са подгрупом простог реда од 256 бита. Читање идентификатора као рангирања по величини производи управо грешку да се 24 сматра већом од 15. Назив је ознака, а параметри иза њега су оно што преговори заиста користе.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Групе на елиптичним кривама додају сопствену збрку, јер број битова криве описује поље, а не модул. Поређење P-384 са групом коначног поља од 3072 бита као да бројеви мере исту ствар не говори вам ништа.
Шта може да изрази набрајање Windows
Регистар IKE и параметар клијента Windows су различита сучеља са различитим речницима. Референца за cmdlet VpnClient компаније Microsoft документује да DHGroup прихвата None, Group1, Group2, Group14, ECP256, ECP384 и Group24. Group15 се не појављује у том документованом скупу, што значи да параметар не може да изрази тражену групу. То је ограничење сучеља, а не тврдња о томе које групе протокол подржава.
Навођење ненаведеног правописа, целог броја или копираног низа политике не проширује набрајање. Проверите референцу за верзију Windows коју заиста примењујете, и ако група није доступна, искрен исход је друга одобрена политика или други клијент.
Држите DHGroup, PfsGroup и тип сертификата одвојено
DHGroup бира групу за IKE размену кључева, а PfsGroup управља тајношћу унапред за асоцијације заштићеног саобраћаја које следе. То су одвојена поља, па исправно подешавање једног не говори ништа о другом. RSA или ECDSA кључ сертификата је треће својство и припада аутентификацији, а не ефемерној размени. Један профил стога може бити исправан у једном слоју и погрешан у другом, а успешна веза неће открити у ком.
Извештаји да је одређени тип сертификата наметнуо ECP групу на свакој IKEv2 вези описују једну комбинацију подешавања. Они не утврђују правило протокола, а третирање као правила је начин на који локална особеност постаје политика.
Прочитајте групу о којој је преговарао пролаз
Модул VpnClient нуди Set-VpnConnectionIPsecConfiguration као сучеље само за упис, а на хосту нема одговарајућег Get- cmdleta који ту политику чита назад. Забележите вредности DHGroup и PfsGroup које сте применили, па прочитајте на пролазу шта је размена заиста користила. Покрените команде након нове везе, а не након поновног повезивања које је искористило стару асоцијацију.
swanctl --list-sas
ipsec statusallПрофил који пријављује Group24 док пролаз пријављује modp2048s256 је конзистентан, јер је то иста група под два речника. Пролаз који пријављује modp3072 док профил каже Group24 није конзистентан и један крај не спроводи оно што ви мислите. Ред сертификата одговара на одвојено питање аутентификације, а поље PFS на треће. Упоредите сва три пре него што напишете напомену о усклађености.
Забележите затражену групу, преговарану групу и сучеље које је подешавање прихватило или одбило. Тај трио је оно што рецензенту треба и ништа од тога не може се закључити из назива политике.