两种交换模式的差别
IKEv1 阶段一有两种交换模式。主模式用 6 条消息完成协商：先协商策略，再做密钥交换，最后才传输身份信息，因此身份在加密通道中传递，保护较好。野蛮模式压缩到 3 条消息：身份信息随第一条消息就发出，速度快但身份暴露，而且早期的身份交换缺少保护。选择依据通常是地址条件：两端都有固定公网地址时用主模式；一端地址不固定（拨号、动态地址）且由它主动发起时，常见做法是那一侧用野蛮模式，因为此时无法按预设的对端地址做匹配。
基本信息
| 主模式 | 6 条消息，身份受保护 |
|---|---|
| 野蛮模式 | 3 条消息，速度快但身份暴露 |
| 适配场景 | 动态地址侧常用野蛮模式主动发起 |
| 匹配要求 | 两端交换模式需一致才能协商成功 |
| 适用版本 | 仅 IKEv1；IKEv2 的消息交换机制不同 |
| 查看 | show crypto isakmp sa 中的状态与模式 |
典型使用场景
- 两端固定公网地址：直接用主模式，安全性更好
- 分支拨号或动态地址：由动态侧用野蛮模式发起
- 与老设备对接：部分实现默认使用特定模式，需确认
- 排障时判断协商阶段：从 SA 状态推断使用的是哪种模式
- 安全评审：说明为何在特定场景下使用野蛮模式及其补偿措施
状态观察与配置
状态观察与配置
# 查看阶段一 SA 与状态
show crypto isakmp sa
# Cisco 侧配置交换模式（IKEv1 场景）
crypto isakmp peer address 203.0.113.2
set aggressive-mode password MySecret
set aggressive-mode client-endpoint fqdn site2.example.com
! 触发流量并观察协商过程
ping 10.2.0.1 source 10.1.0.1
show crypto isakmp sa detail模式对照
| 维度 | 主模式 | 野蛮模式 |
|---|---|---|
| 消息数量 | 6 条 | 3 条 |
| 身份保护 | 受保护 | 早期暴露 |
| 地址要求 | 通常要求固定地址 | 适合动态地址侧发起 |
| 协商耗时 | 略多一次往返 | 更快 |
| 排查线索 | 阶段一对等体协商痕迹清晰 | 失败时日志信息较少 |
IKEv2 没有主模式与野蛮模式的区分，它的消息交换由自身机制定义；讨论这两种模式时要注意前提是 IKEv1。
野蛮模式会较早暴露身份标识，且部分实现的身份校验较弱；在可选的场景下优先主模式或直接使用 IKEv2。