Windows VPN Group24 vs MODP3072: உங்களுக்கு எந்தக் குழு தேவை?
குழு எண்கள் பதிவேட்டுப் பதிவுகள், அளவின்படி தரவரிசை அல்ல. பெயரை அதன் அளவுருக்களுடன் இணைத்து, பின்னர் Windows அளவுரு எந்தக் குழுக்களை வெளிப்படுத்த முடியும் என்பதைச் சரிபார்க்கவும்.
Group24 மற்றும் MODP3072 இரண்டும் விசை-பரிமாற்றக் குழுவின் பெயர்கள், அவை வெவ்வேறு வலிமையுடைய ஒரே குழு அல்ல. Group24 2048-பிட் மட்டுப்படுத்தியை 256-பிட் பகா-வரிசை துணைக்குழுவுடன் இணைக்கிறது, ஆனால் MODP3072 என்பது 3072 பிட்டின் 15வது குழு. மற்றொன்று குறிப்பிடப்பட்டிருக்கும்போது ஒன்றைத் தேர்ந்தெடுப்பது தேவையை நிறைவேற்றுவதற்குப் பதிலாக மாற்றுகிறது. முடிவை நான்கு விஷயங்கள் தீர்மானிக்கின்றன, அவற்றில் எதுவும் ஒத்த தோற்றமுள்ள பெயரை நம்ப வேண்டியதில்லை.
எண் பதிவேட்டுப் பதிவு, தரவரிசை அல்ல
IANA விசை-பரிமாற்றக் குழுக்களை அவை பதிவு செய்யப்பட்ட வரிசையில் எண்ணிடுகிறது, எனவே பெரிய எண் என்பது பிந்தைய பதிவேட்டுப் பதிவைக் குறிக்கும், வலிமையான குழுவை அல்ல. குழு 14 2048-பிட் MODP, குழு 15 3072-பிட் MODP, மற்றும் குழு 24 2048-பிட் மட்டுப்படுத்தியை 256-பிட் பகா-வரிசை துணைக்குழுவுடன் இணைக்கிறது. அடையாளங்காட்டியை அளவுத் தரவரிசையாகப் படிப்பது 24ஐ 15ஐ விடப் பெரியதாகக் கருதும் அதே தவறை உருவாக்குகிறது. பெயர் ஒரு லேபிள், அதன் பின்னால் உள்ள அளவுருக்களே பேச்சுவார்த்தை உண்மையில் பயன்படுத்துவது.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
நீள்வட்ட வளைவுக் குழுக்கள் தங்கள் சொந்த குழப்பத்தைச் சேர்க்கின்றன, ஏனெனில் வளைவின் பிட் எண்ணிக்கை ஒரு புலத்தை விவரிக்கிறது, மட்டுப்படுத்தியை அல்ல. P-384ஐ 3072-பிட் முடிவுள்ள புலக் குழுவுடன், எண்கள் ஒரே விஷயத்தை அளப்பதுபோல் ஒப்பிடுவது உங்களுக்கு எதுவும் சொல்லாது.
Windows கணக்கீடு எதை வெளிப்படுத்த முடியும்
IKE பதிவேடும் Windows வாடிக்கையாளர் அளவுருவும் வெவ்வேறு சொல்லகராதி கொண்ட வெவ்வேறு இடைமுகங்கள். Microsoft இன் VpnClient cmdlet குறிப்பு DHGroup None, Group1, Group2, Group14, ECP256, ECP384 மற்றும் Group24 ஏற்கிறது என்று பதிவு செய்கிறது. Group15 அந்தப் பதிவு செய்யப்பட்ட தொகுப்பில் தோன்றவில்லை, அதாவது அளவுரு உங்களிடம் கோரப்பட்ட குழுவை வெளிப்படுத்த முடியாது. இது இடைமுகத்தின் வரம்பு, நெறிமுறை எந்தக் குழுக்களை ஆதரிக்கிறது என்பதற்கான கூற்று அல்ல.
பட்டியலிடப்படாத எழுத்துப்பிழை, முழு எண் அல்லது நகலெடுக்கப்பட்ட கொள்கை சரத்தை வழங்குவது கணக்கீட்டை விரிவுபடுத்தாது. நீங்கள் உண்மையில் பயன்படுத்தும் Windows பதிப்பிற்கான குறிப்பைச் சரிபார்க்கவும், குழு கிடைக்கவில்லை என்றால், நேர்மையான முடிவு மற்றொரு அங்கீகரிக்கப்பட்ட கொள்கை அல்லது மற்றொரு வாடிக்கையாளர்.
DHGroup, PfsGroup மற்றும் சான்றிதழ் வகையைத் தனியாக வைத்திருங்கள்
DHGroup IKE விசை-பரிமாற்றத்திற்கான குழுவைத் தேர்ந்தெடுக்கிறது, PfsGroup அதைத் தொடரும் பாதுகாக்கப்பட்ட இயக்கச் சங்கங்களுக்கான முன்னோக்கு இரகசியத்தன்மையை நிர்வகிக்கிறது. இவை தனித்தனி புலங்கள், எனவே ஒன்றைச் சரியாக அமைப்பது மற்றொன்றைப் பற்றி எதுவும் சொல்லாது. சான்றிதழின் RSA அல்லது ECDSA விசை மூன்றாவது பண்பு, அது அங்கீகாரத்திற்கு உரியது, தற்காலிக பரிமாற்றத்திற்கு அல்ல. எனவே ஒரு சுயவிவரம் ஒரு அடுக்கில் சரியாகவும் மற்றொன்றில் தவறாகவும் இருக்கலாம், வெற்றிகரமான இணைப்பு எது என்பதை வெளிப்படுத்தாது.
குறிப்பிட்ட சான்றிதழ் வகை ஒவ்வொரு IKEv2 இணைப்பிலும் ECP குழுவைத் திணித்தது என்ற அறிக்கைகள் ஒரு அமைப்பு சேர்க்கையை விவரிக்கின்றன. அவை நெறிமுறையின் விதியை நிறுவுவதில்லை, அவற்றை விதியாகக் கருதுவதே உள்ளூர் விநோதம் கொள்கையாகும் வழி.
நுழைவாயில் பேச்சுவார்த்தை செய்த குழுவைப் படியுங்கள்
VpnClient தொகுதி Set-VpnConnectionIPsecConfiguration ஐ எழுது-மட்டும் இடைமுகமாக வழங்குகிறது, ஹோஸ்ட்டில் அந்தக் கொள்கையை மீண்டும் படிக்கும் பொருத்தமான Get- cmdlet இல்லை. நீங்கள் பயன்படுத்திய DHGroup மற்றும் PfsGroup மதிப்புகளைப் பதிவு செய்து, பின்னர் பரிமாற்றம் உண்மையில் எதைப் பயன்படுத்தியது என்பதை நுழைவாயிலில் படியுங்கள். கட்டளைகளைப் புதிய இணைப்பிற்குப் பிறகு இயக்குங்கள், பழைய சங்கத்தை மீண்டும் பயன்படுத்திய மறுஇணைப்பிற்குப் பிறகு அல்ல.
swanctl --list-sas
ipsec statusallசுயவிவரம் Group24 எனத் தெரிவிக்கும்போது நுழைவாயில் modp2048s256 எனத் தெரிவித்தால் அது ஒத்திசைவானது, ஏனெனில் அவை இரண்டு சொல்லகராதிகளில் ஒரே குழு. நுழைவாயில் modp3072 எனத் தெரிவிக்கும்போது சுயவிவரம் Group24 என்றால் அது ஒத்திசைவானது அல்ல, ஒரு முனை நீங்கள் நினைப்பதைச் செயல்படுத்தவில்லை. சான்றிதழ் வரி தனி அங்கீகாரக் கேள்விக்குப் பதிலளிக்கிறது, PFS புலம் மூன்றாவதற்கு. இணக்கக் குறிப்பை எழுதுவதற்கு முன் மூன்றையும் ஒப்பிடுங்கள்.
கோரப்பட்ட குழு, பேச்சுவார்த்தை செய்யப்பட்ட குழு மற்றும் அமைப்பை ஏற்றுக்கொண்ட அல்லது நிராகரித்த இடைமுகத்தைப் பதிவு செய்யுங்கள். அந்த மும்மையே மதிப்பாய்வாளருக்குத் தேவை, அதிலிருந்து எதையும் கொள்கையின் பெயரிலிருந்து ஊகிக்க முடியாது.