IPsec IKE

   

   IPsec IKE：Internet 密钥交换协议
  （IPsec IKE: Internet Key Exchange Protocol）

　　Internet 密钥交换（IPsec IKE）是 IPsec 体系结构中的一种主要协议。它是一种混合协议，使用部分 Oakley 和部分 SKEME，并协同 ISAKMP 提供密钥生成材料和其它安全连系，比如用于 IPsec DOI 的 AH 和 ESP 。

　　ISAKMP 只对认证和密钥交换提出了结构框架，但没有具体定义。ISAKM 与密钥交换相独立，支持多种不同的密钥交换。IKE 是一系列密钥交换中的一种，称为“模式”。

　　IKE 可用于协商虚拟专用网（VPN），也可用于远程用户（其 IP 地址不需要事先知道）访问安全主机或网络，支持客户端协商。客户端模，式即为协商方不是安全连接发起的终端点。当使用客户模式时，端点处身份是隐藏的。

　　IKE 的实施必须支持以下的属性值：

DES 用在 CBC 模式，使用弱、半弱、密钥检查。
MD5[MD5] 和 SHA[SHA]。
通过预共享密钥进行认证。
缺省的组 1 上的 MODP。
　　另外，IKE 的实现也支持 3DES 加密；用 Tiger [TIGER] 作为 hash；数字签名标准，RSA[RSA]，使用 RSA 公共密钥加密的签名和认证；以及使用组 2 进行 MODP。IKE 实现可以支持其它的加密算法，并且可以支持 ECP 和 EC2N 组。

　　只要实现了 IETF IPsec DOI，IKE 模式就必须实施。其它 DOI 也可使用这里描述的模式。


协议结构

　　IKE 信息是由 ISAKMP 头和 SKEME 以及 Oakley 字段联合构成。其特定格式取决于信息状态和模式。具体细节，请参照相关链路文档。