版本差异与选择
IKEv2（RFC 7296）用初始交换四消息完成基础协商，原生支持 NAT-T 与多子网选择符，错误通知也更明确；IKEv1（RFC 2409）有主模式与野蛮模式两套流程，主要用于兼容存量设备。新建组网优先 IKEv2，只有在与旧设备对接时才考虑 IKEv1。
基本信息
| 基础交互 | IKEv1 主模式 6 消息或野蛮模式 3 消息；IKEv2 初始交换 4 消息 |
|---|---|
| NAT 穿越 | IKEv1 依赖扩展实现，IKEv2 内置支持 |
| 流量选择符 | IKEv1 逐个协商较繁琐，IKEv2 支持多选择符 |
| 错误通知 | IKEv2 通知更明确，便于定位 |
| 选型取向 | 新建组网优先 IKEv2，存量兼容用 IKEv1 |
| 对接前提 | 两端版本与参数集必须匹配 |
典型使用场景
- 新建站点互联：直接选用 IKEv2，简化 NAT 穿越与多子网场景
- 与旧设备对接：确认对端只支持 IKEv1 时按 V1 参数对齐
- 排障参数不匹配：先确认版本，再逐项核对加密与完整性算法
- 多子网场景：IKEv2 选择符表达能力更好，可减少策略条目
- 版本迁移：同一对端从 V1 迁到 V2 时分阶段验证
IKEv2 配置骨架
IKEv2 配置骨架
crypto ikev2 proposal P1
encryption aes-cbc-256 # 加密算法
integrity sha256 # 完整性算法
group 14 # DH 组
!
crypto ikev2 policy POL1
proposal P1
!
show crypto ikev2 sa # 看 IKEv2 的 SA 状态
show crypto isakmp sa # 部署了 IKEv1 时看其 SA 状态IKEv1 与 IKEv2 对照
| 维度 | IKEv1 | IKEv2 |
|---|---|---|
| 基础交互 | 主模式 6 消息、野蛮模式 3 消息 | 初始交换 4 消息完成 |
| NAT 穿越 | 依赖扩展实现 | 内置支持 |
| 流量选择符 | 逐个协商较繁琐 | 支持多选择符 |
| 错误通知 | 相对笼统 | 更明确，便于定位 |
| 使用取向 | 存量设备兼容 | 新建组网优先 |
两端版本能力不匹配是首要排查项：先对齐版本，再调加密、完整性与 DH 参数。顺序反了会在无关参数上反复试错。
不要用 IKEv1 的概念理解 IKEv2 的参数：两者的加密与完整性表达方式不同，配置项与日志关键字也不一样，混着看很容易得出错误结论。