IPsecIKESA和IPsecSA寫的比較清晰的一篇文章文章

1、終于明白是怎么回事了，困擾我好多天了。網(wǎng)上的資料魚龍混雜，直到這位大蝦的出現(xiàn)。第一階段有主模式和積極模式2種只有remote vpn和Easy vpn是積極模式的，其他都是用主模式來協(xié)商的讓IKE對等體彼此驗證對方并確定會話密鑰,這個階段永DH進行密鑰交換,創(chuàng)建完IKE SA后,所有后續(xù)的協(xié)商都將通過加密合完整性檢查來保護phase 1幫助在對等體之間創(chuàng)建了一條安全通道，使后面的phase 2過程協(xié)商受到安全保護第二階段快速模式協(xié)商IPSEC SA使用的安全參數(shù),創(chuàng)建IPSEC SA,使用AH或ESP來加密IP數(shù)據(jù)流第一階段詳細(xì)過程主模式協(xié)商IKE phase 1在IPSEC對等體間交換6條消

2、息，這些消息的具體格式取決于使用的對等體認(rèn)證 方法一,使用預(yù)共享密鑰進行驗證的主模式（6條）協(xié)商過程使用ISAKMP消息格式來傳遞（UDP 500）第一階段準(zhǔn)備工作在前2條消息發(fā)送以前，發(fā)送者和接受者必須先計算出各自的cookie（可以防重放和 DOS攻擊）,這些cookie用于標(biāo)識每個單獨的協(xié)商交換消息cookie -RFC 建議將源目IP,源目端口，本地生成的隨機數(shù),日期和時間進行散列操作.cookie 成為留在IKE協(xié)商中交換信息的唯一標(biāo)識，實際上cookie是用來防止DOS攻擊的，它把和其他設(shè)備建立IPSEC所需要的連接信息不是以緩存的形式保存在路由器里，而是把這些信息HASH成個co

3、okie 值1&2消息消息1-發(fā)送方向?qū)Φ润w發(fā)送一條包含一組或多組策略提議，在策略提議中包括5元組（加密算法,散列算法，DH,認(rèn)證方法，IKE SA壽命）1. 策略協(xié)商，在這一步中，就四個強制性參數(shù)值進行協(xié)商：1 ）加密算法：選擇 DES或 3DES2） hash算法：選擇MD或SHA3） 認(rèn)證方法：選擇證書認(rèn)證、預(yù)置共享密鑰認(rèn)證或Kerberos v5認(rèn)證4） Diffie-Hellman組的選擇消息2-接受方查看IKE策略消息，并嘗試在本地尋找與之匹配的策略，找到后，則有一條消息去回應(yīng)注意！!！發(fā)起者會將它的所有策略發(fā)送給接受者，接受者則在自己的策略中尋找與之匹配的策略（對比順序從優(yōu)先級號

4、小的到大的）（默認(rèn)策略實際就是個模版沒作用，如果認(rèn)證只配置預(yù)共享的話，其他參數(shù)就會copy默認(rèn)策略里的）在1&2消息中報錯可能出現(xiàn)的原因1, peer路由不通2, crypto iskmp key沒有設(shè)置3，一階段的策略不匹配3&4消息這2條消息，用于交換DH的公開信息和隨機數(shù)兩個對等體根據(jù)DH的公開信息都算出了雙方相等的密植后，兩個nonce連通預(yù)共享密鑰生成第一個 skeyID隨后便根據(jù)SKEY_ID來推算出其他幾個 skeyIDskeylD_d-用來協(xié)商出后續(xù)IPSEC SA加密使用的密鑰的skeylD_a-為后續(xù)的IKE消息協(xié)商以及IPSEC SA協(xié)商進行完整性檢查（HMAC中的密鑰）

5、 skeyID_e-為后續(xù)的IKE消息協(xié)商以及IPSEC SA協(xié)商進行加密5& 6消息 這2條消息用于雙方彼此驗證,這個過程是受skeylD_e加密保護的為了正確生成密鑰，每一個對等體必須找到與對方相對應(yīng)的預(yù)共享密鑰，當(dāng)有許多對等體連接時,每一對對等體兩端都需要配置預(yù)共享密鑰,每一對等體都必須使用ISAKMP分組的源IP來查找與其對等體對應(yīng)的預(yù)共享密鑰（此時由于ID還沒到,彼此先用HASH來彼此驗證對方）HASH認(rèn)證成分SKEYID_a,cookieA,cookieB ， preshare_key,SA paload,轉(zhuǎn)換集，策略在5&6消息中報錯可能出現(xiàn)的原因1，crypto iskmp k

6、ey設(shè)置錯了接受者處理過程1,用skeyID_e對消息進行加密 2,用ID（源IP）查找出與共享密鑰 3,skeyID_a 和 preshare-key 等一堆東西一起來計算HASH 4,和收到的 HASH故比較第二階段（3條）phase 2的目標(biāo)是協(xié)商IPSEC SA,而且只有一種模式，快速模式，快速模式的協(xié)商是受IKE SA 保護的使用哪種IPSec協(xié)議：AH或 ESP使用哪種hash算法：MD或SHA使用什么模式：隧道還是傳輸是否要求加密，若是，選擇加密算法：3DES或DES在上述三方面達(dá)成一致后，將建立起兩個SA分別用于入站和出站通信。1&2消息消息1-發(fā)送方發(fā)送一條報文，其中包含HA

7、SH,IPSEC策略提議，NONCE和可選的DH,身份IDHASH是用于給接受方作完整性檢查的，用于再次認(rèn)證對等體（必須）HASH的成分和5-6階段一樣IPSEC策略提議：其中包括了安全協(xié)議,SPI,散列算法，隧道模式,IPSEC SA生命周期（必須）NONCE用于防重放攻擊，還被用作密碼生成的材料,僅當(dāng)啟用PFS時用到ID:描述IPSEC SA是為哪些地址，協(xié)議和端口建立的PFS （利用DH交換，可選）:用了 PFS后就會在第二階段重新DH出個數(shù)據(jù)加密 KEY,這個KEY和以前IKE協(xié)商出來的KEY沒有任何關(guān)系,然后由這個新KEY來加密數(shù)據(jù)，只有到這個IPSEC SA的生命周期后，會再次DH出新的KEY,這樣，安全性就提高了 （普通等ipec SA過期或密鑰 超時時，重新生成的數(shù)據(jù)加密密鑰還是根據(jù)以階段DH出來的skeylD_d衍生出來的）（PFS啟用后，數(shù)據(jù)加密部分使用的密鑰就沒有了衍生的過程）DH:重新協(xié)商IPSEC SA實使用的密鑰（正常情況下IPSEC階段