Windows VPN Group24 vs MODP3072: vilken grupp behöver du?
Gruppnummer är registerposter, inte en rangordning efter storlek. Koppla namnet till dess parametrar och kontrollera sedan vilka grupper Windows-parametern kan uttrycka.
Group24 och MODP3072 är båda namn på en nyckelutbytesgrupp, och de är inte samma grupp med olika styrka. Group24 kombinerar en modulus på 2048 bitar med en undergrupp av primtalsordning på 256 bitar, medan MODP3072 är den 3072-bits gruppen 15. Att välja den ena när den andra angavs ändrar kravet i stället för att uppfylla det. Fyra saker avgör resultatet, och ingen av dem kräver att man litar på ett namn som liknar det andra.
Numret är en registerpost, inte en rang
IANA numrerar nyckelutbytesgrupper i den ordning de registrerades, så ett högre nummer betyder en senare registerpost och inte en starkare grupp. Grupp 14 är 2048-bits MODP, grupp 15 är 3072-bits MODP, och grupp 24 kombinerar en modulus på 2048 bitar med en undergrupp av primtalsordning på 256 bitar. Att läsa identifieraren som en storleksrangordning ger precis felet att behandla 24 som en större 15. Namnet är en etikett, och parametrarna bakom det är vad förhandlingen faktiskt använder.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Grupper på elliptiska kurvor tillför sin egen förvirring, eftersom en kurvas bitantal beskriver ett fält och inte en modulus. Att jämföra P-384 med en grupp över ett ändligt fält på 3072 bitar som om talen mätte samma sak säger dig ingenting.
Vad Windows-uppräkningen kan uttrycka
IKE-registret och Windows-klientparametern är olika gränssnitt med olika ordförråd. Microsofts VpnClient-cmdlet-referens dokumenterar att DHGroup accepterar None, Group1, Group2, Group14, ECP256, ECP384 och Group24. Group15 förekommer inte i den dokumenterade mängden, vilket betyder att parametern inte kan uttrycka den grupp du blev ombedd att använda. Det är en begränsning i gränssnittet och inte ett påstående om vilka grupper protokollet stöder.
Att ange en icke-listad stavning, ett heltal eller en kopierad principsträng utökar inte uppräkningen. Kontrollera referensen för den Windows-version du faktiskt distribuerar, och om gruppen inte är tillgänglig är det ärliga resultatet en annan godkänd princip eller en annan klient.
Håll DHGroup, PfsGroup och certifikattyp åtskilda
DHGroup väljer gruppen för IKE-nyckelutbytet, och PfsGroup styr forward secrecy för de skyddade trafikassociationer som följer. De är separata fält, så en korrekt inställning av det ena säger ingenting om det andra. Certifikatets RSA- eller ECDSA-nyckel är en tredje egenskap och hör till autentisering, inte till det efemära utbytet. En enda profil kan därför vara rätt i ett lager och fel i ett annat, och en lyckad anslutning avslöjar inte vilket.
Rapporter om att en viss certifikattyp tvingade fram en ECP-grupp på varje IKEv2-anslutning beskriver en kombination av inställningar. De fastställer inte en regel i protokollet, och att behandla dem som en regel är hur en lokal egenhet blir en princip.
Läs gruppen som gatewayen förhandlade
VpnClient-modulen erbjuder Set-VpnConnectionIPsecConfiguration som ett gränssnitt endast för skrivning, och det finns ingen motsvarande Get--cmdlet som läser tillbaka principen på värden. Anteckna de DHGroup- och PfsGroup-värden du använde och läs sedan på gatewayen vad utbytet faktiskt använde. Kör kommandona efter en ny anslutning och inte efter en återanslutning som återanvände en gammal association.
swanctl --list-sas
ipsec statusallEn profil som rapporterar Group24 medan gatewayen rapporterar modp2048s256 är konsekvent, eftersom det är samma grupp i två ordförråd. En gateway som rapporterar modp3072 medan profilen säger Group24 är inte konsekvent, och ena änden tillämpar inte det du tror. Certifikatraden svarar på den separata autentiseringsfrågan, och PFS-fältet på den tredje. Jämför alla tre innan du skriver en efterlevnadsanteckning.
Anteckna den begärda gruppen, den förhandlade gruppen och det gränssnitt som accepterade eller avvisade inställningen. Den trion är vad en granskare behöver, och inget av det kan härledas från principnamnet.