IPsec IKEv2（HCIP）

第一阶段，通信双方协商并建立IKE协议本身使用的安全通道，即建立一个IKE SA（主模式【六个报文】和野蛮模式【三个报文】），在这个阶段就已经产生隧道了，不传业务传第二阶段的协商。
第二阶段，利用第一阶段已通过认证与安全保护的安全通道，建立一对用于数据安全传输的IPsec SA（快速模式三个报文），加密传输协商Ipsec SA的信令，协商起隧道传输业务。

IKEv1协商第一阶段的目的是建立IKE SA。IKE SA建立后对等体间的所有KE报文都将通过加密和验证，这条安全通道可以保证IKEv1第二阶段的协商能够安全进行。
IKEv1协商第一阶段支持两种协商模式：主模式（Main Mode）和野模式（Aggressive Mode）

野蛮模式：

第一个包就是把主模式的1、3、5包一起发

第二个包对方把主模式2、4、6包一起发

第三个就是验证数据了

IKEv1协商第二阶段的目的是建立用来安全传输数据的IPsec SA，并为数据传输衍生出密钥。
第二阶段采用快速模式 (Quick Mode)，该模式使用IKEV1协商第一阶段中生成的密钥对ISAKMP消息的完整性和身份进行验证，并对ISAKMP消息进行加密，故保证了交换的安全性。

协议的整合。IKEV2整合了IKEv1的主体协议（RFC2407，2408，2409）以及后来补充的NAT 穿越（NAT Traversal）、遗传认证（Legacy Authentication）、远程地址采集( Remote Address Acquisition）等协议，形成了一个完整的IKE协议。它保留了IKEv1 的基本功能，同时兼顾了高效性、安全性、健壮性和复杂性的需要，大幅度精简了原有协议，并针对在此之前对IKEV1 研究过程中发现的问题进行了修订。
协商轮数的减少。在保证安全性的前提下，将第一阶段中主模式交换的消息条数由六条减少到四条,第二阶段的消息由三条变为两条。
载荷的变化，数字签名、PSK和EAP认证的支持，不支持RSA-enr。
安全性。为了防御来自网络的拒绝服务（DoS）攻击，IKEv2 规定通信双方任何-端不能通过任何路由信息（ICMP消息）或未加密保护的IKE 消息（报错消息）来判定另一方是否已经无法通信，通告需要确认。

IKEv2简化了IKEv1协商SA的过程。
正常情况下，IKEV2使用2次交换共4条消息就可以完成一对IPsec SA的建立，如果要求建立的IPsec SA大于一对时，每一对IPsecSA只需额外增加1次创建子SA交换，也就是2条消息就可以完成。
IKEv2定义了三种交换：初始交换（Initial Exchainges）、创建子SA交换（Create_Child_SA_Exchange）以及通知交换（informational Exchange）。

在IKEv2的协议中，通信双方协商由3个交换来完成：（没有了IKEv1的阶段一和阶段二的概念，只有交换）

初始交换（Initial Exchange）：初始交换由 4 条消息组成，其中头两条消息被称为 IKE SA INITIAL交换，主要是协商加密算法、交换 Nonce 值、完成一次 DiffieHellman 交换，从而生成用于加密和验证后续交换的密钥材料。后两条消息被称为 IKE AUTH 交换，实现对前两条消息的认证，同时交换身份标识符和证书，并建立第一个 CHILD SA。IKE AUTH 交换的两条消息中式被加密和认证的，加密和认证使用的密钥是在IKE SA INITIAL 交换中建立的。

四个包搞定IKE SA、IPsec SA

初始交换和建立子交换是建立隧道，信息交换是维护隧道。

IKEv2通过初始交换就可以完成第一对IPsec SA的协商建立。初始交换包含两次交换四条消息。

运行IKE协商的两端有时会传递一些控制信息，例如错误信息或者通告信息，这些信息在IKEV2中是通过通知交换完成的。
通知交换必须在IKE SA保护下进行，也就是说通知交换只能发生在初始交换之后。控制信息可能是IKE SA的那么通知交换必须由该IKE SA来保护进行;也可能是某子SA的，那么该通知交换必须由生成该子SA的IKESA来保护进行。