A2A VPN GM向KS注册

在GM的某接口上应用了A2A VPN的相关GDOI安全策略后，GM会向KS发起注册，这个注册过程包括两个阶段的协商：IKE协商和GDOI协商，具体内容如下：

1. 第一阶段为IKE协商：GM与KS进行协商，进行双方的身份认证，身份认证通过后，建立IKE SA。

   IKE协商过程，详情请参见《Huawei AR系列 V200R010 配置指南-IPSec配置》中的“IKE协议”。

2. 第二阶段为GDOI协商：在第一阶段建立的IKE SA的保护下GM与KS进行GDOI协商，并从KS下载密钥信息（KEK、TEK）。

   具体的协商过程如图1所示。

1. GM获取管理员配置的组ID，向KS发送所在组的ID。

2. KS对收到的组ID进行验证，验证通过后，KS根据GM提供的组ID向GM发送相应组的GDOI安全策略（例如保护的数据流信息、认证算法、加密算法、封装模式等）。

3. GM对收到的GDOI安全策略进行验证，如果这些策略是可接受的（例如认证算法和加密算法是可支持的），则向KS发送确认消息。

4. KS收到GM的确认消息后，向GM发送密钥信息（KEK、TEK）。

通过这个过程，GM将从KS上获取的GDOI安全策略和密钥保存到了本地，并生成TEK SA和KEK SA。其中TEK SA用于保护GM间的数据流，KEK SA用于保护GM和KS间的密钥更新消息。