我多年来一直在构建IPsec VPN，但老实说，我从未完全掌握IKE和ISAKMP之间的技术区别。我经常看到两个术语可以互换使用（可能不正确）。

我理解IPsec的两个基本阶段，并且ISAKMP似乎主要处理第一阶段。例如，IOS命令“ show crypto isakmp sa”显示IPsec第一阶段信息。但是没有适用于IKE的等效命令。

#1 楼

ISAKMP是IKE的一部分。 （IKE有ISAKMP，SKEME和OAKLEY）。 IKE建立共享安全策略和认证密钥。 ISAKMP是用于指定密钥交换机制的协议。

（对我而言）的困惑是，在Cisco IOS中，ISAKMP / IKE用于指代同一事物。我的意思是，我的理解是思科的IKE仅实现/使用ISAKMP。因此，一个配置IKE，然后在概念上在其中配置ISAKMP。

评论

嗨，克雷格，这里有一个类似的问题security.stackexchange.com/questions/35872 / ...如果您想添加我的答案，可以在此处删除我的答案。

–卢卡斯·考夫曼（Lucas Kauffman）
13年5月14日下午6:56
不必要。但是，谢谢您的好意！

–克雷格·康斯坦丁（Craig Constantine）
13年5月14日在10:36
networklessons.com/cisco/ccie-routing-switching / ...这也许是IPSec的最佳解释。

– Gaurav Parashar
18/12/10在7:12

#2 楼

请检查是否对您有帮助，我知道我来晚了:)

是的，这是来自Wikipedia文章，Internet安全协会和密钥管理协议，但是到目前为止，我没有看到任何参考。 Wiki / RFC在此处进行讨论。


ISAKMP定义了用于验证通信对等方，安全联盟的创建和管理，密钥生成技术和威胁缓解的过程。 （例如，拒绝服务和重放
攻击）。作为框架，IKE通常会使用ISAKMP进行密钥交换，尽管已经实现了其他方法，例如
Kerberized Internet Negotiation of Keys。使用此协议形成了初步SA
；

ISAKMP定义了用于建立，协商，修改和删除安全关联的过程和数据包格式。 SA包含执行各种网络安全性服务所需的所有
信息，例如IP层服务（例如标头身份验证和有效载荷封装），传输或应用程序层服务或
自我保护的谈判流量。 ISAKMP定义了用于交换密钥生成和身份验证数据的有效负载。这些格式
提供了一个一致的框架，用于传输密钥和身份验证
数据，与密钥生成技术，加密
算法和身份验证机制无关。

ISAKMP与众不同从密钥交换协议中删除，以便将安全关联管理（和密钥
管理）的详细信息与密钥交换的详细信息分开。可能有许多
不同的密钥交换协议，每个协议具有不同的安全性
属性。但是，需要一个通用框架来同意SA属性的格式，以及协商，修改和删除SA。 ISAKMP就是这个通用框架。

ISAKMP可以通过任何传输协议来实现。所有
实现必须包括使用端口500上的UDP的ISAKMP
的发送和接收功能。


评论

您应该进行编辑以使用报价功能，并且应该记下来源。

–罗恩·莫潘♦
2015年11月8日下午4:53
看来，这个答案是从其他来源最初复制而来的，而您却忘了归因于原始来源。我已尽力解决了此问题，但是请确认我所做的更改正确无误，并确保将来自己进行此操作。

– YLearn♦
2015年11月8日，下午5:30
您应该为源添加属性，并在可能的情况下提供链接。我修复了您对@YLearn的修改，以重新添加链接。

–罗恩·莫潘♦
15年11月8日在7:07
伙计们，当我浏览这篇文章以了解IKE / ISAKMP之间的区别时，到目前为止，在上述讨论中我没有看到任何有关Wiki的参考或任何详细的解释。因此，想到将其放在此处，这是不值得任何称赞的:) :) :)

– Feroze K.M
15年11月8日在7:17


引用某人​​的工作而不给予赞誉是一种糟糕的形式。合理使用原则允许您引用某人的作品，但是您需要在应得的荣誉中给予荣誉，否则，在某些情况下，这就是窃。我们只是在尝试改善您的答案（对原作者公平）。

–罗恩·莫潘♦
15年11月8日在8:12

#3 楼

实际上，IKE是Internet密钥交换（IKE），是Internet安全协会密钥管理协议（ISAKMP）的同义词。

#4 楼

Internet安全协会密钥管理协议（ISAKMP）是一个框架，用于在两个对等方之间进行身份验证和密钥交换，以建立，修改和拆除SA。它旨在支持许多不同种类的密钥交换。 ISAKMP使用UDP端口500进行对等方之间的通信。
IKE是使用Oakley和Skeme密钥交换技术实现的ISAKMP。 Oakley为密钥，身份保护和身份验证提供了完美的前向保密（PFS）； Skeme提供匿名性，可否认性和快速的按键刷新。对于Cisco平台，IKE与ISAKMP类似，并且这两个术语可以互换使用。多年以来，这也使我感到困惑！
简短的回答：ISAKMP = IKE，用思科的话来说。