Windows VPN Group24 vs MODP3072: aling grupo ang kailangan mo?
Ang mga numero ng grupo ay mga entry sa registry, hindi ranggo ayon sa laki. Itugma ang pangalan sa mga parameter nito, pagkatapos tingnan kung aling mga grupo ang kayang ipahayag ng parameter ng Windows.
Ang Group24 at MODP3072 ay parehong mga pangalan ng isang grupo ng pagpapalitan ng susi, at hindi sila ang parehong grupo sa magkaibang lakas. Pinagsasama ng Group24 ang modulus na 2048 bit sa isang subgroup na prime-order na 256 bit, habang ang MODP3072 ay ang grupo 15 na 3072 bit. Ang pagpili ng isa kapag ang isa ay tinukoy ay binabago ang pangangailangan sa halip na tuparin ito. Apat na bagay ang nagtatakda ng resulta, at wala sa mga ito ang nangangailangan ng pagtitiwala sa isang pangalang kamukha.
Ang numero ay entry sa registry, hindi ranggo
Binibilang ng IANA ang mga grupo ng pagpapalitan ng susi sa ayos ng pagkakarehistro, kaya ang mas malaking numero ay nangangahulugang mas huling entry sa registry at hindi mas malakas na grupo. Ang grupo 14 ay MODP na 2048 bit, ang grupo 15 ay MODP na 3072 bit, at pinagsasama ng grupo 24 ang modulus na 2048 bit sa isang subgroup na prime-order na 256 bit. Ang pagbasa sa identifier bilang ranggo ng laki ay lumilikha ng eksaktong pagkakamaling ituring ang 24 na mas malaki kaysa 15. Ang pangalan ay isang label, at ang mga parameter sa likod nito ang aktwal na ginagamit ng negosasyon.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Nagdaragdag ng sariling kalituhan ang mga grupo sa elliptic curve, dahil inilalarawan ng bilang ng bit ng curve ang isang field at hindi ang modulus. Ang paghahambing ng P-384 sa isang grupo sa finite field na 3072 bit na parang magkapareho ang sinusukat ng mga numero ay wala kang sasabihin.
Ano ang kayang ipahayag ng enumeration ng Windows
Ang registry ng IKE at ang parameter ng kliyente ng Windows ay magkaibang interface na may magkaibang bokabularyo. Itinatala ng reference ng cmdlet na VpnClient ng Microsoft na tinatanggap ng DHGroup ang None, Group1, Group2, Group14, ECP256, ECP384 at Group24. Hindi lumilitaw ang Group15 sa dokumentadong set na iyon, na nangangahulugang hindi kayang ipahayag ng parameter ang grupong hiniling sa iyo. Ito ay limitasyon ng interface at hindi isang pahayag tungkol sa kung aling mga grupo ang sinusuportahan ng protocol.
Ang pagbibigay ng hindi nakalistang baybay, integer, o kinopyang string ng patakaran ay hindi nagpapalawak sa enumeration. Tingnan ang reference para sa bersyon ng Windows na aktwal mong idinideploy, at kung hindi available ang grupo, ang tapat na resulta ay ibang aprubadong patakaran o ibang kliyente.
Paghiwalayin ang DHGroup, PfsGroup at uri ng sertipiko
DHGroup ang pumipili ng grupo para sa pagpapalitan ng susi ng IKE, at PfsGroup ang namamahala sa forward secrecy para sa mga asosasyon ng protektadong trapiko na sumusunod. Magkaibang field sila, kaya ang tamang pagtatakda ng isa ay walang sinasabi tungkol sa isa. Ang RSA o ECDSA na susi ng sertipiko ay ikatlong katangian, at kabilang ito sa authentication at hindi sa ephemeral na pagpapalitan. Kaya ang isang profile ay maaaring tama sa isang layer at mali sa isa pa, at hindi ibubunyag ng matagumpay na koneksyon kung alin.
Ang mga ulat na ang isang partikular na uri ng sertipiko ay nagpilit ng ECP group sa bawat koneksyong IKEv2 ay naglalarawan ng isang kombinasyon ng mga setting. Hindi nila itinatag ang isang tuntunin ng protocol, at ang pagtrato sa kanila bilang tuntunin ay ang paraan kung paano nagiging patakaran ang isang lokal na kakaiba.
Basahin ang grupong pinagkasunduan ng gateway
Inaalok ng module na VpnClient ang Set-VpnConnectionIPsecConfiguration bilang interface na write-only, at walang katumbas na Get- cmdlet na nagbabasa pabalik ng patakarang iyon sa host. Itala ang mga halaga ng DHGroup at PfsGroup na inilapat mo, pagkatapos basahin sa gateway kung ano talaga ang ginamit ng pagpapalitan. Patakbuhin ang mga utos pagkatapos ng bagong koneksyon at hindi pagkatapos ng muling pagkonekta na gumamit muli ng lumang asosasyon.
swanctl --list-sas
ipsec statusallAng profile na nag-uulat ng Group24 habang ang gateway ay nag-uulat ng modp2048s256 ay pare-pareho, dahil iisa ang grupong iyon sa dalawang bokabularyo. Ang gateway na nag-uulat ng modp3072 habang ang profile ay nagsasabing Group24 ay hindi pare-pareho, at ang isang dulo ay hindi ipinapatupad ang pinaniniwalaan mo. Sinasagot ng linya ng sertipiko ang hiwalay na tanong ng authentication, at ang field ng PFS ang pangatlo. Ihambing ang tatlo bago magsulat ng tala sa pagsunod.
Itala ang hiniling na grupo, ang pinagkasunduang grupo at ang interface na tumanggap o tumanggi sa setting. Ang triad na iyon ang kailangan ng isang tagasuri, at wala sa mga ito ang mahihinuha mula sa pangalan ng patakaran.