IKEV1

1. 概述：

IKE动态方式协商建立IKE SA以及IPsec SA，IKE SA是为了协商用于保护IPsec隧道的一组安全参数；建立IPsecSA的目的是用于保护用户数据的安全参数。

IKE协议建立在ISAKMP定义的框架上，是基于UDP应用层协议（端口号500/4500），提供了自动协商交换秘钥，建立SA的服务。

IKEv1协商分类二个阶段，第一阶段协商IKE SA，有主模式和野蛮模式（建立一个已通过双方身份认证和对通信数据安全保护的通道）。第二阶段协商IPsec SA为快速模式（用于最终的IP数据安全传输的IPsec SA）。

在双方协商之前，需要识别对方身份的合法性，方法包括PSK/RSA数字证书/RSA数字信封认证。

数据加密体现在两个方面：

1. IKE协商过程中，在身份验证阶段，对协议报文进行加密；

2. 在数据报文传输阶段，对数据进行加密（可选）；

在IKE报文中，双方需要各自依据源/目的IP地址、端口号、本地生成的随机数、时间等计算出自己的cookie（IKEv2中为SPI）。

2. IKEv1第一阶段主模式

主模式使用6条消息，3次交互过程：