飞塔中文v4.3-08-部署IPSec VPN.pdf

2011/7/6 IKE 协商 • IKE阶段1  协商应该如何保护IKE IPSec VPN • IKE阶段2  协商应该如何保护IPSec  源自阶段1的密钥交换生成一些新的加密信息，以提供VPN数据流加 Course 201 v4.3 密和认证中使用的对话密钥。 • IKE和IPSec连接都有使用期限的限制，使用时间（秒）和数据 大小（KB ）来描述。使用期限用于防止连接建立的时间过长， 从密码学的角度看，这是有必要的。 • IPSec的使用期限一般要比IKE的使用期限短。这样通过进行阶 段2协商时，对IPSec连接再次加密。不必进行另外的阶段1协商 直至到IKE使用期限。 IKE 协议 IKE的交换过程 • IKE提议是如何保护数据的建议。发起IPSec连接的VPN 网关， 作为发起者会发出提议列表，提议表建议了不同的护连接的方 Peer1 发起方策略 Peer2 法。 查找匹配 Phase1: SA交换 IKE策略协商 的策略 • 协商连接可以是通过VPN来保护数据流的IPSec连接，或是IKE 连接，保护IKE协商本身。 发送的产生密钥信息 • 响应的VPN 网关，在接收到此提议表后，就会根据自己的安全 Phase 2:密钥交换 密钥生成 密钥生成 策略选择最适合的提议，并根据已选择的提议做出响应。 双方身份和验证数据 • 如果没有找到可接受的提议，就会做出没有可接受提议的响应， 身份验证和 身份验证和 并可能提供原因。 Phase 3: ID交换验证 交换过程验证