两级 SA 的生命周期
IPsec 有两条 SA 生命周期：IKE SA 保护协商信道，常见默认 86400 秒；IPsec SA 承载业务流量，常见默认 3600 秒。两端设置不一致时，按协商结果或以较短一方的行为触发重协商。排障时要看实际剩余时间，而不是只看配置文件里的数字。
基本信息
| IKE SA | 常见默认 86400 秒，可协商 |
|---|---|
| IPsec SA | 常见默认 3600 秒，也可按流量维度限制 |
| 不一致时 | 按协商结果或较短一方行为触发重协商 |
| 观察方式 | show crypto ipsec sa 查看剩余生命时间 |
| 生效条件 | 新设置通常只作用于新建的 SA |
典型使用场景
- 评估重协商频率：生命周期过短会导致频繁重建
- 对接不同厂商设备：两端默认值不同，需要核对实际协商结果
- 排障「隧道周期性中断几秒」：重点看 SA 重建的时间点
- 合规场景按规范设定生命周期上限
- 变更前后对比剩余时间，确认配置真实生效
配置与核对
配置与核对
crypto ipsec security-association lifetime seconds 3600 # 子 SA 生命周期
crypto isakmp policy 10
lifetime 86400 # 阶段一生命周期
!
show crypto ipsec sa | include remaining # 查看实际剩余时间
show crypto isakmp sa | include status # 确认阶段一状态两级 SA 对照
| 层级 | 保护对象 | 常见默认 |
|---|---|---|
| IKE SA | 协商信道 | 86400 秒 |
| IPsec SA | 业务流量 | 3600 秒 |
| PFS 场景 | 子 SA 密钥独立派生 | 重协商时额外做一次 DH |
配置改动通常只作用于新建的 SA：想让新参数立即生效，需要等一次重协商或主动清除既有 SA，改完只看配置文件容易误判。
两端默认值不同时不必强行一致：协议会协商，关键是知道实际生效值是多少，以及它在什么条件下触发重协商。
生命周期过短会让重协商变得频繁：在数据量大的链路上，重建窗口叠加起来可能形成可感知的周期性抖动。
重协商是建新删旧的过程：两端触发时刻接近时会出现叠加效应，把日志时间点对齐有助于判断是否存在互为因果的重建。
涉及生命周期的变更尽量避开业务高峰：重建窗口虽然很短，但对实时业务仍然可能产生可感知的扰动。