防火墙——IKE对等体检测技术（IPSec6）

目录

IKE对等体检测技术

配置hearbeat检测

配置DPD检测

---

IKE对等体检测技术

配置hearbeat检测

工作原理

本端定时向对端发送heartbeat报文来告知对端自己处于活动状态

如果本端在超时时间内没有收到hearbeat报文，则认为对端不可达：如果此时IKE SA带有Timeout标记，则删除IKE对等体之间的IKE SA和IPSec SA；如果此时IKE SA没有Timeout标记，则将其标记为Timeout

特点

• 本端和对端两边的配置需要匹配（一般对端配置的等待heartbeat报文超时时间为本端配置的发送heartbeat报文间隔的3倍）
• 只有IKEv1才支持hearbeat检测
• 会对SA的状态产生影响
• hearbeat检测不是统一的标准，各个厂商可能无法对接
• 周期性的发送hearbeat报文消耗了两端的CPU资源

配置DPD检测

工作原理

如果本端可以收到对端发来的IPSec流量，则认为对端处于活动状态

如果一定时间间隔内没有当收到对端发来的IPSec流量，则发送DPD报文探测对端的状态

如果发送几次DPD报文后抑制没有收到对端的回应，则认为对端不可达，删除IKE对等体之间的SA（IKE SA和IPSec SA）

DPD工作模式

DPD包括周期和按需两种模式

周期模式

如果当前距离上一次收到对端的IPSec报文或者DPD报文的时间超过DPD空闲时间

则本端主动向对端发送DPD报文

按需模式

当本端需要向对端发送IPSec报文时再进行DPD检测

如果当前距离上一次收到对端的IPSec报文超过DPD空闲时间

则本端主动向对端发送DPD报文

特点

• DPD为IPsec协议中的标准功能，各个厂商都可支持
• 本端和对端两边的配置不需要匹配（即可以只在一边进行配置）
• 不会对SA的状态产生影响