IKE协议与实现归纳.pdfVIP

一、 IKE 的作用 当应用环境的规模较小时，可以用手工配置 SA ；当应用环境规模较大、参与的节点位置不 固定时， IKE 可自动地为参与通信的实体协商 SA ，并对安全关联库（ SAD ）维护，保障通 信安全。 二、 IKE 的机制 IKE 属于一种混合型协议，由 Internet 安全关联和密钥管理协议（ ISAKMP ）和两种密钥交 换协议 OAKLEY 与 SKEME 组成。 IKE 创建在由 ISAKMP 定义的框架上， 沿用了 OAKLEY 的密钥交换模式以及 SKEME 的共享和密钥更新技术， 还定义了它自己的两种密钥交换方式。 IKE 使用了两个阶段的 ISAKMP ：第一阶段，协商创建一个通信信道（ IKE SA ），并对该 信道进行验证，为双方进一步的 IKE 通信提供机密性、消息完整性以及消息源验证服务； 第二阶段，使用已建立的 IKE SA 建立 IPsec SA （如图 1 所示）。 IKE 共定义了 5 种交换。阶段 1 有两种模式的交换：对身份进行保护的 主模式“ ”交换以及根 据基本 ISAKMP 文档制订的 野蛮模式“ ”交换。阶段 2 交换使用 快速模式“ ”交换。 IKE 自己 定义了两种交换： 1 为通信各方间协商一个新的 Diffie Hellman 组类型的 新组模式“ ”交换； 2 在 IKE 通信双方间传送错误及状态消息的 ISAKMP 信息交换。 1．主模式交换 主模式交换提供了身份保护机制， 经过三个步骤， 共交换了六条消息。 三个步骤分别是策略 协商交换、 Diffie Hellman 共享值、 nonce 交换以及身份验证交换（如图 2 所示）。 2 ．野蛮模式交换 野蛮模式交换也分为三个步骤，但只交换三条消息：头两条消息协商策略，交换 Diffie Hellman 公开值必需的辅助数据以及身份信息； 第二条消息认证响应方； 第三条消息认证发 起方，并为发起方提供在场的证据（如图 3 所示）。 3 ．快速模式交换 快速模式交换通过三条消息建立 IPsec SA ：头两条消息协商 IPsec SA 的各项参数值， 并生 成 IPsec 使用的密钥；第二条消息还为响应方提供在场的证据；第三条消息为发起方提供 在场的证据（如图 4 所示）。 4 ．新组模式交换 通信双方通过新组模式交换协商新的 Diffie －Hellman 组。新组模式交换属于一种请求 /响应 交换。 发送方发送提议的组的标识符及其特征， 如果响应方能够接收提议， 就用完全一样的 消息应答（如图 5 所示）。 5 ．ISAKMP 信息交换 参与 IKE 通信的双方均能向对方发送错误及状态提示消息。这实际上并非真正意义上的交 换，而只是发送单独一条消息，不需要确认（如图 6 所示）。