IKE工作过程

一、IKE 概述

Internet密钥交换（Internet Key Exchange，简称IKE）

IKE 是一种混合协议，用于动态建立和管理 安全关联（SA）。

基于 ISAKMP 框架，结合了 Oakley 和 SKEME 协议的部分功能。

使用 UDP 500端口(思科) 进行通信。

ISAKMP：定义了消息交换的体系结构，包括两个IPSEC对等体间分组形式和状态转变（定义封装格式和协商包交换的方式）

二、IKE 协商的两个阶段

ISAKMP sa 保护IPsec sa ,IPsec sa保护数据

阶段一：建立 ISAKMP SA（IKE SA）

    目的：建立一个双向的、受保护的通道，用于后续IPSec SA的协商。

    两种模式：

        主模式（Main Mode）：6条消息，提供身份保护。

        野蛮模式（Aggressive Mode）：3条消息，速度更快但安全性较低。

    步骤：

        协商安全策略（加密算法、哈希算法、DH组、认证方式等）。

        交换密钥计算材料，生成密钥。

        身份认证

阶段二：建立 IPSec SA

    目的：为实际的数据传输建立单向的IPSec SA。

    仅一种模式：快速模式（Quick Mode），共3条消息。

    步骤：

        1、安全参数(保护的协议AH/ESP，工作模式传输/隧道，加密算法，校验算法，生命周期)
        2、交换密钥计算材料，生成密钥
        3、身份认证

三、ISAKMP 报文结构

报文头部字段：

    Cookie（发起方/应答方）：防DoS攻击，基于IP、端口、时间等生成。

    下一个载荷：指示后续载荷类型。

    版本号：主版本和次版本。

    交换类型：如主模式、野蛮模式、快速模式等。

    标志位：加密、提交、认证等。

    报文ID：第二阶段用于区分不同协商。

    报文长度：整个ISAKMP报文的长度。

四、ISAKMP 报文携带的载荷类型