IKEv2 交互过程

2.IKEv的交换过程：

在IKEv2的协议中，通信双方协商由3个交换来完成，分别为初始交换（Initial Exchange）、建立子交换（CREATE_CHILD_SA_Exchange）和信息交换（Information Exchange）；

（1）初始交换（Initial Exchange）

初始交换由4条消息组成，其中头两条消息被称为IKE_SA_INITIAL 交换，主要是协商加密算法、交换Nonce值、完成一次Diffie-Hellman 交换，从而生成用于加密和验证后续交换的密钥材料。后两条消息被称为

IKE_AUTH交换，实现对前两条消息的认证，同时交换身份标识符和证书，并建立第一个CHILD_SA。IKE_AUTH交换的两条消息中式被加密和认证的，加密和认证使用的密钥是在IKE_SA_INITIAL交换中建立的。

Initiator Responder Message1 HDR,SAil,KEi,Ni

Message2 HDR,SArl,KEr,Nr,[CERTREQ]

Message3 HDR,SK{IDi,[CERT],[CERTREQ],

[Dr],AUTH,SAi2,TSi,TSr}

Message4 HDR,SK{IDr,[CERT],

AUTH,SAi2,TSi,TSr}

HDR 为ISAKMP的报头，包含发起者。

SA 是指用来协商SA参数的多级载荷，它包含若干提案，每个提案又包含若干算法，由发起者提供多个提案，响应方按照规定的逻辑运算，选择其中的一种组合返回给发起方。

Ni是发起者的当前时间Nonce载荷，Nr为响应者的Nonce。

（2）建立子SA交换（CREATE_CHILD_SA_Exchange）

建立子SA交换（CREATE_CHILD_SA）由两条消息组成。在初始交换完成后，可以有任何一方发起，所以该交换中的发起者和初始交换中的发起

者可能是不同的。使用初始交换中协商好的加密和认证算法对消息进行保护。

Initiator Responder

Message1 HDR,SK{[N],SAi2,

Ni,[Kei],[TSi,TSr]}

Message2 HDR,SK{SAr2,Nr, [Ker],

[TSi,TSr]}

（3）信息交换（Information Exchange）

通信双方在密钥协商期间，某一方可能希望向对方发送控制信息，通知某些错误或者某事件的发生，信息交换就是实现这个功能。

信息交换中的消息包含通知、删除和配置载荷，收到信息消息的一方必须进行响应，响应消息中可能不包含任何载荷，发起消息也可以不包含

任何载荷，发起者可以通过这个方法判断对方是否存活。

Initiator Responder Message1 I-DILSK{[N],[D],[CP]…}

Message2 HDR,SK{[N],[D],[CP]...}