对照
| 维度 | IKEv1 | IKEv2 |
|---|---|---|
| 基础交互 | 主模式 6 消息 / 野蛮 3 消息 | 初始 4 消息完成 |
| NAT-T | 扩展实现 | 内置 |
| 子网 | 协商较繁琐 | 支持多选择符 |
| 取向 | 存量兼容 | 新建组网优先 |
Cisco 侧预留
Cisco 侧预留
crypto ikev2 proposal P1
encryption aes-cbc-256
integrity sha256
group 14
!
show crypto isakmp policyIKEv1 与 IKEv2 的差异与选择
IKEv2 用两轮交换完成基础协商，原生支持 NAT-T、多子网选择符与更清晰的错误通知；IKEv1 主要用于兼容存量设备。
易错点
- 两端版本能力不匹配：先对齐版本再调参数
- 把 IKEv2 参数按 IKEv1 方式理解：加密与完整性表达不同
数据来源与参考
- RFC 7296: IKEv2
- RFC 2409: IKEv1