¶ 理论
IKEv2介绍：
定义在RFC4306 ，更新与 RFC 5996.
不兼容IKEv1，IKEv1不支持认证，IKEv2支持认证，EAP。
支持NAT穿越。
IKEv2支持私密性、完整性、源认证。
工作在UDP 的 500 /4500端口。NAT-T用的是UDP4500端口。
Cisco Flex 私有虚拟网 约等于IKEV2。
DH算法：离散对数问题，在数学上无解，保证信息交换的安全性。
- IKEV1第一阶段（main、Aggressive）的任务对应IKEV2的Initial Exchange
- IKEV1第二阶段（Quick mode）的任务对应IKEV2的ICREATECHILD_SA.
IKEv2主模式的协商过程
采用IKEv2协商安全联盟比IKEv1协商过程要简化的多。要建立一对IPSec SA，IKEv1需要经历两个阶段：“主模式＋快速模式”或者“野蛮模式＋快速模式”，前者至少需要交换9条消息，后者也至少需要6条消息。而IKEv2正常情况使用2次交换共4条消息就可以完成一对IPSec SA的建立，如果要求建立的IPSec SA大于一对时，每一对IPSec SA只需额外增加1次创建子SA交换，也就是2条消息就可以完成。
IKEv2定义了三种交换：初始交换（Initial Exchanges）、创建子SA交换（Create_Child_SA Exchange）以及通知交换（Informational Exchange）。
在IKEv2中将IKEv1中的主模式和野蛮模式换成了Inital Exchange，将快速模式阶段换成了CRATE_CHILD_SA.
¶ 初始交换：
正常情况下，IKEv2通过初始交换就可以完成第一对IPSec SA的协商建立。IKEv2初始交换对应IKEv1的第一阶段，初始交换包含两次交换四条消息。
图：初始交换过程图
消息①和②属于第一次交换（称为IKE_SA_INIT交换），以明文方式完成IKE SA的参数协商，包括协商加密和验证算法，交换临时随机数和DH交换。IKE_SA_INIT交换后生成一个共享密钥材料，通过这个共享密钥材料可以衍生出IPSec SA的所有密钥。相当于IKEv1的主模式的第1,3个包。
消息③和④属于第二次交换（称为IKE_AUTH交换），以加密方式完成身份认证、对前两条信息的认证和IPSec SA的参数协商。IKEv2支持RSA签名认证、预共享密钥认证以及扩展认证方法EAP（Extensible Authentication Protocol）。EAP认证是作为附加的IKE_AUTH交换在IKE中实现的，发起者通过在消息3中省去认证载荷来表明需要使用EAP认证。
IKEv1与IKEv2的对比：
¶ 配置案列
¶ Branch
crypto ikev2 proposal qyt-proposal
encryption 3des aes-cbc-256
integrity sha256 sha512
group 2 5 14
!
crypto ikev2 policy qyt-policy
proposal qyt-proposal
!
crypto ikev2 keyring qyt-key
peer ASA
address 202.100.1.10
pre-shared-key cisco
!
crypto ikev2 profile qyt-profile
match identity remote address 202.100.1.10255.255.255.255
identity local address 162.106.1.1
authentication remote pre-share
authentication local pre-share
keyring local qyt-key
!
crypto ipsec transform-set qyt-trans1 esp-des esp-md5-hmac
mode tunnel
crypto ipsec transform-set qyt-trans2 esp-3des esp-sha256-hmac
mode tunnel
!
crypto map qyt-map 10 ipsec-isakmp
set peer 202.100.1.10
set transform-set qyt-trans1 qyt-trans2
set ikev2-profile qyt-profile
match address 私有虚拟网
!
interface FastEthernet0/0
ip address 162.106.1.1 255.255.255.0
duplex full
crypto map qyt-map
!
interface FastEthernet1/0
ip address 172.16.1.1 255.255.255.0
duplex full
!
ip forward-protocol nd
!
no ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 162.106.1.254
ip route 192.168.1.0 255.255.255.0 172.16.1.2
!
ip access-list extended 私有虚拟网
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
¶ ASA
crypto ikev2 enable outside
!
crypto ikev2 policy 10
encryption aes-256 3des
integrity sha256 sha
group 2 1
prf sha256 sha
lifetime seconds 86400
!
tunnel-group 162.106.1.1 type ipsec-l2l
tunnel-group 162.106.1.1 ipsec-attributes
ikev2 remote-authentication pre-shared-key cisco
ikev2 local-authentication pre-shared-key cisco
!
crypto ipsec ikev2 ipsec-proposal qyt-trans
protocol esp encryption 3des des
protocol esp integrity sha-256 md5
!
access-list 私有虚拟网 extended permit ip 192.168.2.0 255.255.255.0 192.168.1.0 255.255.255.0
!
crypto map qyt-map 10 match address 私有虚拟网
crypto map qyt-map 10 set peer 162.106.1.1
crypto map qyt-map 10 set ikev2 ipsec-proposal qyt-trans
crypto map qyt-map interface outside
