Windows VPN Group24 بمقابلہ MODP3072: آپ کو کون سا گروپ درکار ہے؟
گروپ نمبر رجسٹری اندراجات ہیں، سائز کے مطابق درجہ بندی نہیں۔ نام کو اس کے پیرامیٹرز سے جوڑیں، پھر دیکھیں کہ Windows پیرامیٹر کون سے گروپ ظاہر کر سکتا ہے۔
Group24 اور MODP3072 دونوں ایک کلید تبادلہ گروپ کے نام ہیں، اور یہ مختلف طاقت والا ایک ہی گروپ نہیں ہیں۔ Group24 2048 بٹ ماڈیولس کو 256 بٹ اولین مرتبہ ذیلی گروپ کے ساتھ ملاتا ہے، جبکہ MODP3072 3072 بٹ کا گروپ 15 ہے۔ دوسرا متعین ہونے پر ایک کا انتخاب ضرورت پوری کرنے کے بجائے اسے بدل دیتا ہے۔ نتیجہ چار چیزیں طے کرتی ہیں، اور ان میں سے کسی کو بھی ملتے جلتے نام پر بھروسہ کرنے کی ضرورت نہیں۔
نمبر رجسٹری اندراج ہے، درجہ نہیں
IANA کلید تبادلہ گروپوں کو ان کی رجسٹریشن کی ترتیب سے نمبر دیتا ہے، اس لیے بڑا نمبر بعد کا رجسٹری اندراج ظاہر کرتا ہے، زیادہ مضبوط گروپ نہیں۔ گروپ 14 2048 بٹ MODP ہے، گروپ 15 3072 بٹ MODP ہے، اور گروپ 24 2048 بٹ ماڈیولس کو 256 بٹ اولین مرتبہ ذیلی گروپ کے ساتھ ملاتا ہے۔ شناخت کنندہ کو سائز کی درجہ بندی کے طور پر پڑھنا 24 کو 15 سے بڑا سمجھنے کی وہی غلطی پیدا کرتا ہے۔ نام ایک لیبل ہے، اور اس کے پیچھے کے پیرامیٹرز ہی وہ ہیں جو مذاکرات واقعی استعمال کرتے ہیں۔
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
بیضوی منحنی گروپ اپنی الگ الجھن شامل کرتے ہیں، کیونکہ منحنی کے بٹوں کی تعداد کسی میدان کی وضاحت کرتی ہے، ماڈیولس کی نہیں۔ P-384 کا 3072 بٹ محدود میدان گروپ سے موازنہ کرنا، گویا اعداد ایک ہی چیز ناپ رہے ہوں، آپ کو کچھ نہیں بتاتا۔
Windows کی گنتی کیا ظاہر کر سکتی ہے
IKE رجسٹری اور Windows کلائنٹ پیرامیٹر مختلف فرہنگ والے مختلف انٹرفیس ہیں۔ Microsoft کا VpnClient cmdlet حوالہ درج کرتا ہے کہ DHGroup None، Group1، Group2، Group14، ECP256، ECP384 اور Group24 قبول کرتا ہے۔ Group15 اس درج شدہ مجموعے میں نہیں آتا، جس کا مطلب ہے کہ پیرامیٹر وہ گروپ ظاہر نہیں کر سکتا جو آپ سے مانگا گیا ہے۔ یہ انٹرفیس کی حد ہے، پروٹوکول کون سے گروپوں کی تائید کرتا ہے اس کا بیان نہیں۔
فہرست میں نہ ہونے والی ہجے، صحیح عدد یا نقل شدہ پالیسی اسٹرنگ دینا گنتی کو نہیں بڑھاتا۔ جس Windows ورژن کو آپ واقعی تعینات کرتے ہیں اس کے لیے حوالہ دیکھیں، اور اگر گروپ دستیاب نہیں، تو ایماندار نتیجہ کوئی اور منظور شدہ پالیسی یا کوئی اور کلائنٹ ہے۔
DHGroup، PfsGroup اور سرٹیفکیٹ کی قسم کو الگ رکھیں
DHGroup IKE کلید تبادلہ کے لیے گروپ منتخب کرتا ہے، اور PfsGroup بعد میں آنے والی محفوظ ٹریفک انجمنوں کے لیے آگے کی رازداری کنٹرول کرتا ہے۔ یہ الگ فیلڈز ہیں، اس لیے ایک کو درست مقرر کرنا دوسرے کے بارے میں کچھ نہیں کہتا۔ سرٹیفکیٹ کی RSA یا ECDSA کلید تیسری خصوصیت ہے، اور یہ تصدیق سے تعلق رکھتی ہے، عارضی تبادلے سے نہیں۔ اس لیے ایک پروفائل ایک پرت میں درست اور دوسری میں غلط ہو سکتا ہے، اور کامیاب کنکشن یہ ظاہر نہیں کرے گا کہ کون سی۔
یہ رپورٹیں کہ کسی خاص سرٹیفکیٹ قسم نے ہر IKEv2 کنکشن پر ECP گروپ مسلط کیا، ترتیبات کے ایک امتزاج کی وضاحت کرتی ہیں۔ وہ پروٹوکول کا کوئی قاعدہ قائم نہیں کرتیں، اور انہیں قاعدہ سمجھنا ہی وہ راستہ ہے جس سے مقامی انوکھا پن پالیسی بن جاتا ہے۔
وہ گروپ پڑھیں جس پر گیٹ وے نے مذاکرات کیے
VpnClient ماڈیول Set-VpnConnectionIPsecConfiguration کو صرف تحریر کے انٹرفیس کے طور پر پیش کرتا ہے، اور ہوسٹ پر وہ پالیسی واپس پڑھنے والا کوئی مماثل Get- cmdlet نہیں ہے۔ آپ نے جو DHGroup اور PfsGroup اقدار لاگو کیں انہیں درج کریں، پھر گیٹ وے پر پڑھیں کہ تبادلے نے واقعی کیا استعمال کیا۔ کمانڈز نئے کنکشن کے بعد چلائیں، پرانی انجمن دوبارہ استعمال کرنے والے دوبارہ کنکشن کے بعد نہیں۔
swanctl --list-sas
ipsec statusallپروفائل Group24 بتائے جبکہ گیٹ وے modp2048s256 بتائے تو یہ ہم آہنگ ہے، کیونکہ یہ دو فرہنگوں میں ایک ہی گروپ ہیں۔ گیٹ وے modp3072 بتائے جبکہ پروفائل Group24 کہے تو یہ ہم آہنگ نہیں، اور ایک سرا وہ لاگو نہیں کر رہا جو آپ سمجھتے ہیں۔ سرٹیفکیٹ کی سطر الگ تصدیقی سوال کا جواب دیتی ہے، اور PFS فیلڈ تیسرے کا۔ تعمیل کا نوٹ لکھنے سے پہلے تینوں کا موازنہ کریں۔
مانگا گیا گروپ، مذاکرات شدہ گروپ اور وہ انٹرفیس جو ترتیب کو قبول یا مسترد کرتا ہے درج کریں۔ یہی ثلاثی جائزہ لینے والے کو درکار ہے، اور اس میں سے کچھ بھی پالیسی کے نام سے قیاس نہیں کیا جا سکتا۔