IKEv1中主模式与野蛮模式区别?(面试题)
作者:互联网
主模式与野蛮模式区别?(面试题)
总分总的方式进行回答
交换的消息:主模式为6个消息,野蛮模式为3个消息,野蛮模式能够更快创建IKE SA
NAT支持:对预共享密钥认证(因为需要靠IP地址来找到对方):主模式不支持NAT转换(没有开启NAT-T)当然华为默认情况下 开启了NAT-T 所以 主模式也可以穿越NAT的环境,而野蛮模式支持(不开启NAT-T)即使在没有开启NAT-T的情况下 野蛮模式也可以穿越NAT的环境。而对于证书方式认证:两种模式都能支持。
对等体标识:主模式只能采用IP地址方式标识对等体;而野蛮模式可以采用IP地址方式或者Name方式标识对等体(DN FQDN User-FQDN)。这是由于主模式在交换完3、4消息以后,需要使用预共享密钥来计算SKEYID(pre-share-key Ni| Nr),当一个设备有多个对等体时,必须查找到该对等体对应的预共享密钥,但是由于其对等体的ID信息在消息5、6中才会发送,此时主模式的设备只能使用消息3、4中的IP报文源地址来找到与其对应的预共享密钥;如果主模式采用Name方式,Name信息却包含在消息5、6中,而设备必须在消息5、6之前找到其对等体的预共享密钥,所以就造成了矛盾,无法完成Name方式的标识。 (主模式只支持IP地址方式标识对等体,不支持NAME方式)
而在野蛮模式中,ID消息在消息1、2中就已经发送了,设备可以根据ID信息查找到对应的预共享密钥,从而计算SKEYID。但是由于野蛮模式交换的2个消息没有经过加密,所以ID信息也是明文的,也相应造成了安全隐患。
(野蛮支持IP地址方式标识对等体,也可以NAME方式,但是ID是明文的,不安全,华为推荐使用模板方式)
4、提议转换对数量:在野蛮模式中,由于第一个消息就需要交换DH消息,而DH消息本身就决定了采用哪个DH组,这样在提议转换对中就确定了使用哪个DH组,如果第一个消息中包含多个提议转换对,那么这多个转换对的DH组必须相同(和DH消息确定的DH组一致),否则消息1中只能携带和确定DH组相同的提议转换对。
协商能力:由于野蛮模式交换次数的限制,因此野蛮模式协商能力低于主模式。
主模式的认证是在加密的环境下进行的,野蛮模式在非加密环境下进行;野蛮模式采用预共享密钥的场景下不依赖于IP地址的标示,因此支持动态IP地址的场景。(应用场景角度)
主模式常用,野蛮已经不推荐使用(华为野蛮模式必须配置remote-address,考虑安全问题)
两者之间的协商过程不同(开展说)
主模式 6个消息
标签:面试题,DH,野蛮,模式,IKEv1,消息,NAT,主模式 来源: https://blog.51cto.com/13817711/2480796