Erzwingen Sie Windows IPSec / L2TP-VPN zur Verwendung von AES im IPSec-Hauptmodus

943
billc.cn

Der RAS-basierte IPSec-VPN-Client unter Windows scheint die IPSec-Standardeinstellungen in der Windows-Firewall (die den IPSec-Treiber hostet) nicht zu respektieren, besteht jedoch auf der Verwendung der 3DES-Verschlüsselung mit SHA1-Integrität für den Schlüsselaustausch (IPSec-Hauptmodus). Bei beiden handelt es sich nun um ältere Algorithmen.

Es spielt also keine Rolle, welche Verschlüsselung für die Datenübertragung verwendet wird (Quick-Modus), welche RAS bis zu AES-256-CBC unterstützt, die gesamte Verbindung ist nur so schwach wie 3DES / SHA1.

Andererseits kann der IPSec-Treiber in der Windows-Firewall mit SHA-384, AES-GCM und ECDH P-384 umgehen. Gibt es eine Möglichkeit, den VPN-Client so zu konfigurieren, dass er verwendet wird, oder einfach die in der Windows-Firewall festgelegten Standardeinstellungen beachten?

1

1 Antwort auf die Frage

2
Jordan123

Habe ein ähnliches Problem mit IPSec / IKE. Es scheint, dass der RasMan-Dienst die über die Windows-Firewall konfigurierten IPSec-Richtlinien vollständig ignoriert. Und das Beste, was ich mit AES-SHA1-DH2048 erreichen konnte, ist das Registry-Mangling. Ich habe es als .reg-Datei gespeichert, es gibt Kommentare, also sollten die Dinge ziemlich klar sein.

REGEDIT4  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\IKEv2] "CustomParams"=dword:00000001 "CustomProposalsCount"=dword:00000001  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\IKEv2\Proposals]  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\IKEv2\Proposals\0] ; for "Quick Mode", all keys optional ; DES, 3DES, AES_128, AES_256 "esp_encr"="AES_128" ; MD5, SHA1 "esp_auth"="SHA1" ; MD5, SHA1 ;"AH"="SHA1" ; NONE, 1, 2, 2048, ECP_256, ECP_384, MM ;"PFS"="MM"  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters] "AllowL2TPWeakCrypto"=dword:00000000 "AllowPPTPWeakCrypto"=dword:00000000 ; for "Main Mode" ; 0 - disable, 1 - enable, 2 - force /// WARNING! "force" disables stronger DH groups! "NegotiateDH2048_AES256"=dword:00000001
Vielen Dank für das Posten !! Ich werde es versuchen und Bericht erstatten. billc.cn vor 5 Jahren 0

Verwandte Probleme