28、虚拟专用网络中的安全协议与技术详解

虚拟专用网络中的安全协议与技术详解

1. IKE 主模式与积极模式

在建立 IPsec 连接的过程中，IKE（Internet Key Exchange）协议起着关键作用，它有主模式（Main Mode）和积极模式（Aggressive Mode）两种模式。

主模式使用三对消息来完成不同的任务：
- 第一对消息：协商 IKE SA（Security Association）参数。
- 第二对消息：执行密钥交换。
- 第三对消息：相互认证端点。

每对主模式消息可能还包含一个供应商 ID，用于指示发送方 IPSec 软件的供应商，通过这个 ID 可以识别发送方的一些特征和偏好。

积极模式则是主模式的一种更快的替代方案，它通过三条消息来协商 IKE SA 的建立：
1. 第一条消息：端点 A 发送所有保护套件参数、Diffie - Hellman 密钥交换的部分、一个随机数（nonce）和其身份信息。
2. 第二条消息：端点 B 发送保护套件参数、Diffie - Hellman 密钥交换的部分、一个随机数、其身份信息以及认证负载（通过数字签名或哈希）。
3. 第三条消息：端点 A 发送其认证负载。

积极模式虽然能通过更少的消息协商与主模式相同的参数，并且可用于没有固定 IP 地址的主机的预共享密钥认证，但它的安全性相对较低。因为 Diffie - Hellman 密钥交换从第一个数据包就开始，双方没有机会协商 Diffie - Hellman 参数，而且身份信息在某些情况下可能不会被隐藏，容易受到预共享密钥破解攻击，导致用户身份假冒和中间人攻击。除非存在性能问题，一般建议在第一阶段交换