Windows VPN Group24 vs MODP3072: మీకు ఏ సమూహం కావాలి?
సమూహ సంఖ్యలు రిజిస్ట్రీ నమోదులు, పరిమాణం ప్రకారం ర్యాంకింగ్ కాదు. పేరును దాని పరామితులతో అనుసంధానించి, ఆపై Windows పరామితి ఏ సమూహాలను వ్యక్తపరచగలదో తనిఖీ చేయండి.
Group24 మరియు MODP3072 రెండూ కీ-మార్పిడి సమూహం పేర్లు, మరియు అవి వేర్వేరు బలంతో ఒకే సమూహం కాదు. Group24 2048-బిట్ మాడ్యులస్ను 256-బిట్ ప్రధాన-క్రమ ఉపసమూహంతో కలుపుతుంది, అయితే MODP3072 3072 బిట్ల 15వ సమూహం. మరొకటి పేర్కొనబడినప్పుడు ఒకదాన్ని ఎంచుకోవడం అవసరాన్ని నెరవేర్చడం బదులు మారుస్తుంది. ఫలితాన్ని నాలుగు విషయాలు నిర్ణయిస్తాయి, వాటిలో ఏదీ పోలిన పేరుపై నమ్మకం ఉంచాల్సిన అవసరం లేదు.
సంఖ్య రిజిస్ట్రీ నమోదు, ర్యాంక్ కాదు
IANA కీ-మార్పిడి సమూహాలను అవి నమోదైన క్రమంలో సంఖ్యలు ఇస్తుంది, కాబట్టి పెద్ద సంఖ్య అంటే తరువాతి రిజిస్ట్రీ నమోదు, బలమైన సమూహం కాదు. సమూహం 14 2048-బిట్ MODP, సమూహం 15 3072-బిట్ MODP, మరియు సమూహం 24 2048-బిట్ మాడ్యులస్ను 256-బిట్ ప్రధాన-క్రమ ఉపసమూహంతో కలుపుతుంది. గుర్తింపుదారును పరిమాణ ర్యాంకింగ్గా చదవడం 24ని 15 కంటే పెద్దదిగా భావించే అదే పొరపాటును సృష్టిస్తుంది. పేరు ఒక లేబుల్, దాని వెనుక ఉన్న పరామితులే చర్చలు నిజంగా ఉపయోగించేవి.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
దీర్ఘవృత్తాకార వక్ర సమూహాలు తమ స్వంత గందరగోళాన్ని జోడిస్తాయి, ఎందుకంటే వక్రం యొక్క బిట్ సంఖ్య క్షేత్రాన్ని వివరిస్తుంది, మాడ్యులస్ను కాదు. P-384ని 3072-బిట్ పరిమిత క్షేత్ర సమూహంతో, సంఖ్యలు ఒకే విషయాన్ని కొలిచినట్లు పోల్చడం మీకు ఏమీ చెప్పదు.
Windows గణన ఏమి వ్యక్తపరచగలదు
IKE రిజిస్ట్రీ మరియు Windows క్లయింట్ పరామితి వేర్వేరు పదజాలంతో వేర్వేరు ఇంటర్ఫేస్లు. Microsoft యొక్క VpnClient cmdlet సూచన DHGroup None, Group1, Group2, Group14, ECP256, ECP384 మరియు Group24ని అంగీకరిస్తుందని నమోదు చేస్తుంది. Group15 ఆ నమోదైన సమితిలో కనిపించదు, అంటే పరామితి మీ నుండి కోరిన సమూహాన్ని వ్యక్తపరచలేదు. ఇది ఇంటర్ఫేస్ పరిమితి, ప్రోటోకాల్ ఏ సమూహాలను మద్దతిస్తుందనే ప్రకటన కాదు.
జాబితాలో లేని అక్షరక్రమం, పూర్ణాంకం లేదా కాపీ చేసిన విధాన స్ట్రింగ్ ఇవ్వడం గణనను విస్తరించదు. మీరు నిజంగా అమలు చేసే Windows సంస్కరణకు సూచనను తనిఖీ చేయండి, సమూహం అందుబాటులో లేకుంటే నిజాయితీ ఫలితం మరో ఆమోదించిన విధానం లేదా మరో క్లయింట్.
DHGroup, PfsGroup మరియు సర్టిఫికెట్ రకాన్ని వేరుగా ఉంచండి
DHGroup IKE కీ-మార్పిడి కోసం సమూహాన్ని ఎంచుకుంటుంది, PfsGroup తరువాత వచ్చే రక్షిత ట్రాఫిక్ అనుబంధాల కోసం ముందుకు రహస్యతను నియంత్రిస్తుంది. ఇవి వేర్వేరు ఫీల్డ్లు, కాబట్టి ఒకదాన్ని సరిగ్గా సెట్ చేయడం మరొకదాని గురించి ఏమీ చెప్పదు. సర్టిఫికెట్ యొక్క RSA లేదా ECDSA కీ మూడవ లక్షణం, అది ప్రామాణీకరణకు చెందుతుంది, తాత్కాలిక మార్పిడికి కాదు. కాబట్టి ఒక ప్రొఫైల్ ఒక పొరలో సరిగ్గా మరొకదానిలో తప్పుగా ఉండవచ్చు, విజయవంతమైన కనెక్షన్ ఏదో వెల్లడించదు.
నిర్దిష్ట సర్టిఫికెట్ రకం ప్రతి IKEv2 కనెక్షన్లో ECP సమూహాన్ని బలవంతం చేసిందని చెప్పే నివేదికలు ఒక సెట్టింగ్ కలయికను వివరిస్తాయి. అవి ప్రోటోకాల్ నియమాన్ని స్థాపించవు, వాటిని నియమంగా పరిగణించడమే స్థానిక విచిత్రత విధానం అయ్యే మార్గం.
గేట్వే చర్చించిన సమూహాన్ని చదవండి
VpnClient మాడ్యూల్ Set-VpnConnectionIPsecConfiguration అనే దానిని రాయడం-మాత్రమే ఇంటర్ఫేస్గా అందిస్తుంది, హోస్ట్లో ఆ విధానాన్ని తిరిగి చదివే సరిపోలే Get- cmdlet లేదు. మీరు వర్తించిన DHGroup మరియు PfsGroup విలువలను నమోదు చేసి, ఆపై మార్పిడి నిజంగా ఏమి ఉపయోగించిందో గేట్వేలో చదవండి. ఆదేశాలను కొత్త కనెక్షన్ తర్వాత అమలు చేయండి, పాత అనుబంధాన్ని పునర్వినియోగించిన తిరిగి కనెక్ట్ తర్వాత కాదు.
swanctl --list-sas
ipsec statusallప్రొఫైల్ Group24 నివేదిస్తుండగా గేట్వే modp2048s256 నివేదిస్తే అది సుసంగతం, ఎందుకంటే అవి రెండు పదజాలాల్లో ఒకే సమూహం. గేట్వే modp3072 నివేదిస్తుండగా ప్రొఫైల్ Group24 చెబితే అది సుసంగతం కాదు, ఒక చివర మీరు నమ్మేది అమలు చేయడం లేదు. సర్టిఫికెట్ పంక్తి ప్రత్యేక ప్రామాణీకరణ ప్రశ్నకు సమాధానమిస్తుంది, PFS ఫీల్డ్ మూడవదానికి. అనుపాలన గమనిక రాయడానికి ముందు మూడింటినీ పోల్చండి.
అడిగిన సమూహం, చర్చించిన సమూహం మరియు సెట్టింగ్ను అంగీకరించిన లేదా తిరస్కరించిన ఇంటర్ఫేస్ను నమోదు చేయండి. ఆ త్రికమే సమీక్షకుడికి కావాల్సింది, దానిలో ఏదీ విధానం పేరు నుండి ఊహించలేరు.