Windows VPN Group24 va MODP3072: qaysi guruh kerak?
Guruh raqamlari reyestr yozuvlari, o'lcham bo'yicha tartiblash emas. Nomni uning parametrlariga bog'lang, so'ng Windows parametri qaysi guruhlarni ifodalay olishini tekshiring.
Group24 va MODP3072 ikkalasi ham kalit almashinuvi guruhining nomlari bo'lib, ular turli kuchdagi bir xil guruh emas. Group24 2048 bitli modulni 256 bitli tub tartibli kichik guruh bilan birlashtiradi, MODP3072 esa 3072 bitli 15-guruhdir. Boshqasi ko'rsatilganda birini tanlash talabni bajarish o'rniga uni o'zgartiradi. Natijani to'rt narsa hal qiladi va ularning hech biri o'xshash ko'rinishdagi nomga ishonishni talab qilmaydi.
Raqam reyestr yozuvi, daraja emas
IANA kalit almashinuvi guruhlarini ro'yxatga olingan tartibda raqamlaydi, shuning uchun katta raqam kuchliroq guruh emas, keyingi reyestr yozuvini bildiradi. 14-guruh 2048 bitli MODP, 15-guruh 3072 bitli MODP, 24-guruh esa 2048 bitli modulni 256 bitli tub tartibli kichik guruh bilan birlashtiradi. Identifikatorni o'lcham darajasi sifatida o'qish 24ni 15dan katta deb hisoblashning aynan o'sha xatosini keltirib chiqaradi. Nom yorliq, uning ortidagi parametrlar esa muzokaralar haqiqatda ishlatadigan narsadir.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Elliptik egri chiziq guruhlari o'z chalkashligini qo'shadi, chunki egri chiziqning bit soni modulni emas, maydonni tasvirlaydi. P-384 ni 3072 bitli chekli maydon guruhi bilan raqamlar bir narsani o'lchagandek qiyoslash sizga hech narsa aytmaydi.
Windows sanog'i nimani ifodalay oladi
IKE reyestri va Windows mijozi parametri turli lug'atlarga ega turli interfeyslardir. Microsoftning VpnClient cmdlet ma'lumotnomasi DHGroup None, Group1, Group2, Group14, ECP256, ECP384 va Group24 qiymatlarini qabul qilishini qayd etadi. Group15 o'sha hujjatlashtirilgan to'plamda ko'rinmaydi, ya'ni parametr sizdan so'ralgan guruhni ifodalay olmaydi. Bu interfeys cheklovi, protokol qaysi guruhlarni qo'llab-quvvatlashi haqidagi bayonot emas.
Ro'yxatda yo'q imlo, butun son yoki ko'chirilgan siyosat satrini berish sanogni kengaytirmaydi. Siz haqiqatda joriy qiladigan Windows versiyasi uchun ma'lumotnomani tekshiring, agar guruh mavjud bo'lmasa, halol natija boshqa tasdiqlangan siyosat yoki boshqa mijozdir.
DHGroup, PfsGroup va sertifikat turini alohida saqlang
DHGroup IKE kalit almashinuvi uchun guruhni tanlaydi, PfsGroup esa keyingi himoyalangan trafik assotsiatsiyalari uchun oldinga sir saqlashni boshqaradi. Ular alohida maydonlar, shuning uchun birini to'g'ri sozlash ikkinchisi haqida hech narsa aytmaydi. Sertifikatning RSA yoki ECDSA kaliti uchinchi xususiyat bo'lib, u autentifikatsiyaga tegishli, efemer almashinuvga emas. Shuning uchun bitta profil bir qatlamda to'g'ri, boshqasida xato bo'lishi mumkin va muvaffaqiyatli ulanish qaysi birida ekanini oshkor qilmaydi.
Muayyan sertifikat turi har bir IKEv2 ulanishida ECP guruhini majbur qilgani haqidagi hisobotlar bitta sozlamalar kombinatsiyasini tasvirlaydi. Ular protokolning qoidasini o'rnatmaydi va ularga qoida sifatida munosabatda bo'lish mahalliy g'alatilikning siyosatga aylanish yo'lidir.
Shlyuz kelishgan guruhni o'qing
VpnClient moduli Set-VpnConnectionIPsecConfiguration ni faqat yozish interfeysi sifatida taklif qiladi va xostda bu siyosatni qayta o'qiydigan mos Get- cmdlet yo'q. Qo'llagan DHGroup va PfsGroup qiymatlaringizni yozib oling, so'ng shlyuzda almashinuv haqiqatda nimani ishlatganini o'qing. Buyruqlarni yangi ulanishdan keyin ishga tushiring, eski assotsiatsiyani qayta ishlatgan qayta ulanishdan keyin emas.
swanctl --list-sas
ipsec statusallProfil Group24 deb xabar bersa, shlyuz modp2048s256 deb xabar bersa, bu izchil, chunki ular ikki lug'atdagi bir guruh. Shlyuz modp3072 deb xabar bersa, profil Group24 desa, bu izchil emas va bir uchi siz o'ylagan narsani tatbiq qilmayapti. Sertifikat satri alohida autentifikatsiya savoliga javob beradi, PFS maydoni esa uchinchisiga. Muvofiqlik yozuvini yozishdan oldin uchtasini qiyoslang.
So'ralgan guruhni, kelishilgan guruhni va sozlamani qabul qilgan yoki rad etgan interfeysni yozib oling. Aynan shu uchlik taqrizchiga kerak va undan hech narsani siyosat nomidan taxmin qilib bo'lmaydi.