IPSEC VPN 主模式和积极模式详解

来源:本站原创 VPN 超过2,591 views围观 0条评论

主模式和积极模式的区别:
1、交换消息的数量:主模式为6条,而积极模式只有3条,而且形式上也不同。
主模式中,每两条是对称的,也就是对等体都向对方发送相同类型字段的消息,这样的消息交换共分为三次,一共是6条;
而在积极模式中,首先由sa的发起者发送一条消息给sa的接受者,sa的接受者收到第一条消息以后,会将自己的sa协商消息附上签名认证信息后发回给sa的发起者,这是第二条信息,第三条信息再由sa的发起者发送给sa的接受者,这条信息中包含了sa的发起者的签名认证信息。 这有点类似于TCP的三次握手。
2、对于NAT穿越的支持:这也要视对等体双方的认证方式而定,主要的区别在预共享密钥的情况下。
如果是预共享密钥的情况下,主模式是不支持NAT穿越的,而积极模式可以支持NAT穿越。
而在证书认证的情况下,主模式和积极模式都是支持NAT穿越的。
3、对于对等体标识的使用:对于主模式,在对等体标识的配置使用上,只能使用ip地址进行标识;而对于积极模式,则可以使用ip地址或者域名进行对等体的标识。
这也是由于主模式和积极模式的消息交换机制所决定的。主模式中,第1、2条信息中,双方交换了一些协商信息,如加密算法、认证算法(hash)、DH组、认证机制等;在双方交换的第3、4条消息中,双方交换了公共密钥,在交换了公共密钥之后,就可以根据DH算法生成后续所需的密钥了(SKEYID),其中包括给数据加密的对称密钥。这在DH算法中,需要用到双方定义的预共享密钥。而在一个设备有多个对等体的情况下,设备需要使用ID信息(如域名信息)来判定对应的对等体的预共享密钥,而这个ID信息是在消息5、6中双方才进行交换的,所以设备这时候只能使用IP地址进行对等体预共享密钥的匹配。所以主模式中无法使用域名信息来进行对等体标识。
而对于积极模式,由于其在第一条信息交换时就发送了对应的ID信息,sa的接收方可以根据该ID信息匹配对应的预共享密钥,从而计算对应的SKEYID。故积极模式是可以使用IP地址或者域名来进行对等体标识的。但是由于积极模式中,是在加密身份信息的安全sa建立之前就进行了身份信息的交换,所以交换的消息都是明文的,ID信息也是明文的,这带来了安全隐患。
4、对于DH组的协商:在主模式中,双方使用消息1、2进行了所使用的DH组的协商,但是在积极模式中,双方没有协商就进行了DH信息的交换,所以DH组是确定的。
5、协商速度及协商能力:由于信息交换的数量较少,所以积极模式下,协商的速度更快,但是协商能力不如主模式。

文章出自:CCIE那点事 http://www.jdccie.com/ 版权所有。本站文章除注明出处外,皆为作者原创文章,可自由引用,但请注明来源。 禁止全文转载。
本文链接:http://www.jdccie.com/?p=3017转载请注明转自CCIE那点事
如果喜欢:点此订阅本站