Windows VPN Group24 ile MODP3072: hangi grup gerekli?
Grup numaraları kayıt defteri girdileridir, boyuta göre bir sıralama değildir. Adı parametreleriyle eşleştirin, ardından Windows parametresinin hangi grupları ifade edebildiğini kontrol edin.
Group24 ve MODP3072 ikisi de bir anahtar değişimi grubunun adıdır ve farklı güçlerdeki aynı grup değildir. Group24, 2048 bitlik bir modülü 256 bitlik asal mertebeli bir alt grupla birleştirir; MODP3072 ise 3072 bitlik 15 numaralı gruptur. Diğeri belirtilmişken birini seçmek, gereksinimi karşılamak yerine değiştirir. Sonucu dört şey belirler ve hiçbiri benzer görünen bir ada güvenmeyi gerektirmez.
Numara bir kayıt defteri girdisidir, sıralama değil
IANA anahtar değişimi gruplarını kaydedilme sırasına göre numaralandırır, bu nedenle daha büyük numara daha güçlü bir grup değil daha sonraki bir kayıt defteri girdisi anlamına gelir. Grup 14 2048 bitlik MODP, grup 15 3072 bitlik MODP'tir ve grup 24, 2048 bitlik bir modülü 256 bitlik asal mertebeli bir alt grupla birleştirir. Tanımlayıcıyı boyut sıralaması olarak okumak, 24'ü 15'ten daha büyük sayma hatasını tam olarak üretir. Ad yalnızca bir etikettir ve arkasındaki parametreler müzakere sırasında gerçekten kullanılanlardır.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Eliptik eğri grupları kendi karışıklığını ekler, çünkü bir eğrinin bit sayısı modülü değil bir cismi tanımlar. P-384'ü 3072 bitlik sonlu cisim grubuyla sayılar aynı şeyi ölçüyormuş gibi karşılaştırmak size hiçbir şey söylemez.
Windows'taki sayım neyi ifade edebilir
IKE kayıt defteri ile Windows istemci parametresi farklı sözlüklere sahip farklı arabirimlerdir. Microsoft'un VpnClient cmdlet başvurusu, DHGroup değerinin None, Group1, Group2, Group14, ECP256, ECP384 ve Group24 kabul ettiğini belgeler. Group15 bu belgelenmiş kümede yer almaz; bu, parametrenin sizden istenen grubu ifade edemeyeceği anlamına gelir. Bu, arabirimin bir sınırlamasıdır, protokolün hangi grupları desteklediğine dair bir ifade değildir.
Listelenmemiş bir yazım, bir tamsayı veya kopyalanmış bir ilke dizesi vermek sayımı genişletmez. Gerçekten dağıttığınız Windows sürümü için başvuruyu kontrol edin ve grup kullanılamıyorsa dürüst sonuç başka bir onaylı ilke veya başka bir istemcidir.
DHGroup, PfsGroup ve sertifika türünü ayrı tutun
DHGroup IKE anahtar değişimi için grubu seçer ve PfsGroup sonraki korumalı trafik ilişkileri için ileriye dönük gizliliği yönetir. Ayrı alanlardır, bu nedenle birini doğru ayarlamak diğeri hakkında hiçbir şey söylemez. Sertifikanın RSA veya ECDSA anahtarı üçüncü bir özelliktir ve kimlik doğrulamaya aittir, geçici değişime değil. Bu nedenle tek bir profil bir katmanda doğru, başka bir katmanda yanlış olabilir ve başarılı bir bağlantı hangisi olduğunu açığa çıkarmaz.
Belirli bir sertifika türünün her IKEv2 bağlantısında bir ECP grubunu zorladığına dair raporlar tek bir ayar bileşimini tanımlar. Protokolün bir kuralını ortaya koymazlar ve onları kural olarak ele almak yerel bir tuhaflığın ilke haline gelme yoludur.
Ağ geçidinin müzakere ettiği grubu okuyun
VpnClient modülü Set-VpnConnectionIPsecConfiguration komutunu yalnızca yazılabilir bir arabirim olarak sunar ve ana bilgisayarda bu ilkeyi geri okuyan eşleşen bir Get- cmdlet yoktur. Uyguladığınız DHGroup ve PfsGroup değerlerini not edin, ardından ağ geçidinde değişimin gerçekte neyi kullandığını okuyun. Komutları yeni bir bağlantıdan sonra çalıştırın, eski bir ilişkilendirmeyi yeniden kullanan yeniden bağlanmadan sonra değil.
swanctl --list-sas
ipsec statusallProfil Group24 bildirirken ağ geçidi modp2048s256 bildiriyorsa bu tutarlıdır, çünkü bunlar iki sözlükte aynı gruptur. Ağ geçidi modp3072 bildirirken profil Group24 diyorsa bu tutarlı değildir ve bir uç sizin inandığınızı uygulamıyordur. Sertifika satırı ayrı kimlik doğrulama sorusunu yanıtlar ve PFS alanı üçüncüsünü. Uyum notu yazmadan önce üçünü de karşılaştırın.
İstenen grubu, müzakere edilen grubu ve ayarı kabul eden veya reddeden arabirimi not edin. Bir inceleyicinin ihtiyaç duyduğu bu üçlüdür ve hiçbiri ilke adından çıkarılamaz.