IPSec VPN构建过程

术语：

IKE（Internet key exchange）：Internet密钥交换协议，属于混合协议，由Internet安全关联和密钥管理协议（ISAKMP）和两种密钥交换协议OAKLEY与SKEME组成。

ISAKMP（Internet Security Association Key Management Protocol）：Internet安全关联和密钥管理协议。IKE和ISAKMP的不同之处在于，IKE真正定义了一个密钥交换的过程，而ISAKMP只是定义了一个通用的可以被任何密钥交换协议使用的框架。

SA（Security Association）：安全关联/连接。

DH（Diffie-hellman）：密钥交换算法。

基本过程：

（1）开始会话，建立连接。

（2） ISAKMP/IKE阶段一：协商阶段二的SA，建立IKE本身的安全信道。

（3） ISAKMP/IKE阶段二：协商IPSec的SA，通过阶段一建立的安全信道交换IPSec通信中使用的SA。

（4）数据连接建立，VPN网关现在可以通过数据连接来保护通信流量。

详细过程：

（1）一个VPN网关对等体发起了到另外一个远程的VPN网关对等体的会话（触发流量），如果没有存在VPN的连接，那么ISAKMP/IKE阶段一开始。

（2） ISAKMP/IKE阶段一：

协商安全参数（加密算法，HASH算法，DH组）。

DH共享连接中的加密算法和HMAC所需的密钥信息。