IKEv2(互联网密钥交换第二版)

IKEv2(Internet Key Exchange version 2,互联网密钥交换第二版)是 IPsec 协议族中的密钥管理协议,负责在两端之间协商加密算法、认证双方身份并生成会话密钥,从而建立起称为安全联盟(SA)的加密通道。它由 IETF 在 RFC 7296 中标准化,是对早期 IKEv1 的全面简化与增强。

概述

IKEv2 运行在 UDP 500 与 4500 端口之上,通过一系列请求-响应报文完成握手。相比 IKEv1 繁琐的主模式与野蛮模式,IKEv2 用四条消息即可建立初始安全联盟,报文更少、状态机更清晰,也更能抵御拒绝服务攻击。它常与 IPsec 的 ESP 封装配合,合称 IKEv2/IPsec。

核心特点

• 握手精简:初始交换与认证交换合计仅需极少往返,建链速度快。
• MOBIKE 移动性:支持终端在 Wi-Fi 与蜂窝网络间切换时保持隧道不断,特别适合手机。
• NAT 穿透:内建 NAT-T 检测,自动切换到 UDP 4500 封装以穿越 NAT 设备。
• 灵活认证:支持预共享密钥、数字证书与 EAP,可对接企业认证体系。

应用场景

IKEv2/IPsec 是主流操作系统原生支持的 VPN 协议之一,iOS、Android、Windows 均内置客户端。因其漫游稳定、掉线自动重连,被广泛用于企业移动办公与运营商级 VPN 接入。

常见问题

问:IKEv2 和 IPsec 是什么关系?答:IPsec 是加密数据传输的框架,而 IKEv2 负责为它协商密钥和参数;二者通常一起使用,单说 IKEv2 VPN 一般指 IKEv2/IPsec。

问:为什么手机上 IKEv2 掉线后能自动恢复?答:得益于 MOBIKE 扩展,隧道两端可在地址变化后更新对端信息而不重新握手,因此切换网络时连接保持连续。