ipsec

您好，请知：

IKE SA和IPSec SA的区别为：通道不同、加密模式不同、负责不同。

一、通道不同

1、IKE SA：IKE SA通道两端只有一个SA，是单向的。

2、IPSec SA：IPSec SA通道两端不止一对SA，是双向的。

二、加密模式不同

1、IKE SA：IKE SA的加密模式为哈希算法。

2、IPSec SA：IPSec SA的加密模式为PRF算法。

三、负责不同

1、IKE SA：IKE SA负责数据流的建立和维护作用。

2、IPSec SA：IPSec SA负责具体的数据流控制作用。

IKE SA和IPSec SA协商的内容也是不一样的，如下：

1. IKEv1的IKE SA协商内容

参考：***.***/assignments/ipsec-registry

a. 加密算法

b. 哈希算法

c. 认证方法 - 如证书认证、Pre-shared Key

d. PRF算法 - 用来产生加解密密钥

e. DH算法和参数

f. Key长度 - 某些算法，如AES-CBC的key长度是可变的，可以通过Attribute来协商Key长度

g. SA的生存时间


2. IKEv2的IKE SA协商内容

参考：***.***/assignments/ikev2-parameters/ikev2-parameters.xml

a. 加密算法

b. PRF算法

c. Integrity算法

d. DH算法

e. ESN - Extended Sequence Numbers


3. IPSec SA的协商内容

参考：***.***/assignments/isakmp-registry

a. ESP加密算法或AH完整性算法

b. 加密模式

c. 认证算法

d. SA生存时间

e. 压缩算法

f. DH算法和参数

g. 加密密钥长度

h. 认证密钥长度

以上均有部分内容是可选的，不是所有的参数都必须协商。上面的三个链接里都详细描述了IANA对每个阶段SA协商用到的参数，比如算法的编号等等。