Windows VPN Group24 so với MODP3072: bạn cần nhóm nào?
Số nhóm là mục đăng ký trong sổ đăng ký, không phải xếp hạng theo kích thước. Ghép tên với các tham số của nó, sau đó kiểm tra tham số Windows có thể biểu đạt những nhóm nào.
Group24 và MODP3072 đều là tên của một nhóm trao đổi khóa, và chúng không phải cùng một nhóm với độ mạnh khác nhau. Group24 kết hợp một mô-đun 2048 bit với một nhóm con bậc nguyên tố 256 bit, trong khi MODP3072 là nhóm 15 3072 bit. Chọn một khi đã chỉ định cái kia sẽ thay đổi yêu cầu thay vì đáp ứng nó. Bốn điều quyết định kết quả, và không điều nào đòi hỏi tin vào một cái tên trông giống nhau.
Con số là một mục đăng ký, không phải thứ hạng
IANA đánh số các nhóm trao đổi khóa theo thứ tự đăng ký, nên số lớn hơn nghĩa là mục đăng ký muộn hơn chứ không phải nhóm mạnh hơn. Nhóm 14 là MODP 2048 bit, nhóm 15 là MODP 3072 bit, và nhóm 24 kết hợp một mô-đun 2048 bit với một nhóm con bậc nguyên tố 256 bit. Đọc mã định danh như một bảng xếp hạng kích thước tạo ra đúng cái sai lầm khi coi 24 là lớn hơn 15. Tên chỉ là nhãn, và các tham số phía sau nó mới là thứ cuộc đàm phán thực sự dùng.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Các nhóm trên đường cong elliptic thêm sự nhầm lẫn riêng của chúng, vì số bit của một đường cong mô tả một trường chứ không phải mô-đun. So sánh P-384 với một nhóm trên trường hữu hạn 3072 bit như thể các con số đo cùng một thứ không cho bạn biết gì.
Những gì bảng liệt kê của Windows có thể biểu đạt
Sổ đăng ký IKE và tham số máy khách Windows là hai giao diện khác nhau với từ vựng khác nhau. Tài liệu tham chiếu cmdlet VpnClient của Microsoft ghi rằng DHGroup chấp nhận None, Group1, Group2, Group14, ECP256, ECP384 và Group24. Group15 không xuất hiện trong tập hợp được ghi lại đó, nghĩa là tham số không thể biểu đạt nhóm mà bạn được yêu cầu. Đây là giới hạn của giao diện chứ không phải một tuyên bố về việc giao thức hỗ trợ những nhóm nào.
Việc cung cấp một cách viết không có trong danh sách, một số nguyên hoặc một chuỗi chính sách sao chép không mở rộng bảng liệt kê. Hãy kiểm tra tài liệu tham chiếu cho phiên bản Windows mà bạn thực sự triển khai, và nếu nhóm không có sẵn, kết quả trung thực là một chính sách được phê duyệt khác hoặc một máy khách khác.
Hãy tách DHGroup, PfsGroup và loại chứng chỉ ra
DHGroup chọn nhóm cho trao đổi khóa IKE, và PfsGroup điều chỉnh tính bí mật chuyển tiếp cho các liên kết lưu lượng được bảo vệ theo sau. Đây là những trường riêng biệt, nên đặt đúng một trường không nói gì về trường kia. Khóa RSA hoặc ECDSA của chứng chỉ là thuộc tính thứ ba, thuộc về xác thực chứ không phải trao đổi tạm thời. Vì vậy một hồ sơ có thể đúng ở một lớp và sai ở lớp khác, và một kết nối thành công sẽ không tiết lộ lớp nào.
Các báo cáo rằng một loại chứng chỉ cụ thể đã buộc một nhóm ECP trên mọi kết nối IKEv2 mô tả một tổ hợp cài đặt. Chúng không thiết lập một quy tắc của giao thức, và coi chúng như một quy tắc chính là cách một nét lạ cục bộ trở thành chính sách.
Đọc nhóm mà cổng đã đàm phán
Mô-đun VpnClient cung cấp Set-VpnConnectionIPsecConfiguration như một giao diện chỉ ghi, và không có Get- cmdlet tương ứng nào đọc lại chính sách đó trên máy chủ. Ghi lại các giá trị DHGroup và PfsGroup bạn đã áp dụng, sau đó đọc trên cổng xem cuộc trao đổi thực sự đã dùng gì. Chạy các lệnh sau một kết nối mới chứ không phải sau một lần kết nối lại đã dùng lại liên kết cũ.
swanctl --list-sas
ipsec statusallMột hồ sơ báo cáo Group24 trong khi cổng báo cáo modp2048s256 là nhất quán, vì đó là cùng một nhóm trong hai từ vựng. Một cổng báo cáo modp3072 trong khi hồ sơ nói Group24 là không nhất quán, và một đầu cuối không thực thi điều bạn tin. Dòng chứng chỉ trả lời câu hỏi xác thực riêng, và trường PFS trả lời câu hỏi thứ ba. So sánh cả ba trước khi viết một ghi chú tuân thủ.
Ghi lại nhóm được yêu cầu, nhóm đã đàm phán và giao diện đã chấp nhận hoặc từ chối cài đặt. Bộ ba đó là những gì người đánh giá cần, và không phần nào suy ra được từ tên chính sách.