Cisco IKEv2 的 keyring 与 profile
IKEv2 在 Cisco 上拆成两块配置：keyring 集中管理对端的预共享密钥，profile 定义协商参数、身份匹配方式与认证方法，再由 crypto map 或 ipsec profile 引用。这样密钥与参数解耦，多对端场景下更好维护。IKEv1 与 IKEv2 的配置可以并存，各自独立，互不影响。
基本信息
| keyring | 按 peer 名称匹配对端地址与预共享密钥，可分别配置本地与远端密钥 |
|---|---|
| profile | 阶段一参数、身份匹配条件与认证方式 |
| 引用方式 | 被 crypto map 或 ipsec profile 调用后才参与协商 |
| 身份匹配 | match identity remote address 等条件必须与实际对端地址一致 |
| 核对命令 | show crypto ikev2 sa、show crypto ikev2 session |
典型使用场景
- 多分支总部互联：一个 keyring 管理多个对端的密钥，按 peer 分组
- 密钥轮换：集中改 keyring 中对应 peer 的密码，不影响其他对端
- 与第三方对接：用 match identity 精确定位对端身份，便于审计
- IKEv1 到 IKEv2 迁移：新旧配置并存，逐站点切换
- 协商失败排障：分别核对 keyring 引用关系与身份匹配条件
配置与核对
配置与核对
crypto ikev2 keyring KEYRING
peer SITE2
address 203.0.113.2
pre-shared-key local LOCAL-PSK
pre-shared-key remote REMOTE-PSK
!
crypto ikev2 profile IKEV2-PROF
match identity remote address 203.0.113.2 255.255.255.255
authentication remote pre-share
authentication local pre-share
keyring local KEYRING
!
show crypto ikev2 sa
show crypto ikev2 session核对要点
| 要点 | 说明 | 异常表现 |
|---|---|---|
| 身份匹配 | match identity 的地址与掩码需覆盖真实对端地址 | 条件不符时协商直接被拒，日志提示身份不匹配 |
| 密钥引用 | profile 中必须指定 keyring，密钥才可查 | 未引用时预共享密钥查找失败，认证不通过 |
| 密钥对称性 | 两端预共享密钥必须一致 | 不一致时表现为认证失败，而非协商失败 |
| 引用链完整 | profile 需被 crypto map 或 ipsec profile 引用 | 只定义不引用时配置存在但不参与任何协商 |
IKEv2 与 IKEv1 的排障命令不通用：看 IKEv1 的 show crypto isakmp sa 无法反映 IKEv2 状态，核对时先确认对端实际使用的是哪个版本。
多对端场景下按分支名称给 peer 命名，profile 名也写清用途：多台设备共用同一模板时，命名一旦混乱，密钥轮换与故障定位都会变成翻配置的体力活。
keyring 与 profile 都是可复用的命名对象：密钥变更频繁就集中维护 keyring，协商参数变更频繁就按站点拆分 profile，怎么拆取决于哪类改动更常见。