Windows VPN Group24 dhidi ya MODP3072: unahitaji kundi gani?
Namba za vikundi ni maingizo ya rejista, si mpangilio kwa ukubwa. Unganisha jina na vigezo vyake, kisha angalia ni vikundi gani ambavyo kigezo cha Windows kinaweza kueleza.
Group24 na MODP3072 zote ni majina ya kundi la kubadilishana funguo, na si kundi moja lenye nguvu tofauti. Group24 inachanganya moduli ya biti 2048 na kikundi kidogo cha mfuatano mkuu wa biti 256, wakati MODP3072 ni kundi la 15 la biti 3072. Kuchagua moja wakati lingine lilitajwa hubadilisha sharti badala ya kulitimiza. Mambo manne huamua matokeo, na hakuna hata moja linalohitaji kuamini jina linalofanana.
Namba ni ingizo la rejista, si cheo
IANA inahesabu vikundi vya kubadilishana funguo kwa mpangilio waliosajiliwa, kwa hiyo namba kubwa inamaanisha ingizo la rejista la baadaye na si kundi lenye nguvu zaidi. Kundi la 14 ni MODP ya biti 2048, kundi la 15 ni MODP ya biti 3072, na kundi la 24 linachanganya moduli ya biti 2048 na kikundi kidogo cha mfuatano mkuu wa biti 256. Kusoma kitambulisho kama mpangilio wa ukubwa huzalisha hasa kosa la kuchukua 24 kama 15 kubwa zaidi. Jina ni lebo, na vigezo vilivyo nyuma yake ndivyo mazungumzo hutumia kwa kweli.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Vikundi vya mkunjo duaradufu huongeza mkanganyiko wao, kwa sababu hesabu ya biti za mkunjo inaelezea uga na si moduli. Kulinganisha P-384 na kundi la uga wenye ukomo wa biti 3072 kana kwamba namba zinapima kitu kimoja hakikuambii kitu.
Kile uhesabuji wa Windows unaweza kueleza
Rejista ya IKE na kigezo cha mteja wa Windows ni violesura tofauti vyenye msamiati tofauti. Marejeo ya cmdlet ya VpnClient ya Microsoft yanaandika kwamba DHGroup inakubali None, Group1, Group2, Group14, ECP256, ECP384 na Group24. Group15 haionekani katika seti hiyo iliyoandikwa, kumaanisha kigezo hakiwezi kueleza kundi uliloulizwa. Hii ni kikomo cha kiolesura na si taarifa kuhusu ni vikundi gani itifaki inavyosaidia.
Kutoa tahajia isiyoorodheshwa, namba kamili au mfuatano wa sera ulionakiliwa hakupanui uhesabuji. Angalia marejeo kwa toleo la Windows unaloloweka kwa kweli, na ikiwa kundi haipatikani, matokeo ya uaminifu ni sera nyingine iliyoidhinishwa au mteja mwingine.
Tenganisha DHGroup, PfsGroup na aina ya cheti
DHGroup huchagua kundi kwa kubadilishana funguo IKE, na PfsGroup husimamia usiri wa mbele kwa vyama vya trafiki vilivyolindwa vinavyofuata. Ni sehemu tofauti, kwa hiyo kuweka moja kwa usahihi hakusemi kitu kuhusu lingine. Ufunguo wa RSA au ECDSA wa cheti ni sifa ya tatu, na unahusiana na uthibitishaji na si kubadilishana kwa muda mfupi. Kwa hiyo wasifu mmoja unaweza kuwa sahihi katika tabaka moja na si sahihi katika lingine, na muunganisho uliofanikiwa hautafichua ni upi.
Ripoti kwamba aina fulani ya cheti ililazimisha kundi la ECP kwenye kila muunganisho wa IKEv2 zinaelezea mchanganyiko mmoja wa mipangilio. Haziweki kanuni ya itifaki, na kuzichukua kama kanuni ndiyo njia ambayo upekee wa eneo unakuwa sera.
Soma kundi ambalo lango lilijadiliana
Moduli ya VpnClient inatoa Set-VpnConnectionIPsecConfiguration kama kiolesura cha kuandika tu, na hakuna Get- cmdlet inayolingana inayosoma sera hiyo tena kwenye mwenyeji. Andika thamani za DHGroup na PfsGroup ulizotumia, kisha soma kwenye lango kile ambacho kubadilishana kulitumia kwa kweli. Endesha amri baada ya muunganisho mpya na si baada ya kuunganisha upya kulikotumia chama cha zamani.
swanctl --list-sas
ipsec statusallWasifu unaoripoti Group24 wakati lango linairipoti modp2048s256 ni sawia, kwa sababu ni kundi moja katika misamiati miwili. Lango linaloripoti modp3072 wakati wasifu unasema Group24 halilingani, na mwisho mmoja hautekelezi unachokiamini. Mstari wa cheti unajibu swali tofauti la uthibitishaji, na sehemu ya PFS inajibu la tatu. Linganisha yote matatu kabla ya kuandika dokezo la uzingatiaji.
Andika kundi lililoombwa, kundi lililojadiliwa na kiolesura kilichokubali au kukataa mpangilio. Utatu huo ndio unaohitajika na mkaguzi, na hakuna kitu kutoka kwake kinachoweza kukisiwa kutoka kwa jina la sera.