| IKE_SA_INIT | 提议 + DH + nonce |
|---|---|
| IKE_AUTH | 身份认证 + 首个子 SA |
| CREATE_CHILD_SA | 新增/重协商子 SA |
| INFORMATIONAL | 删除、保活等维护 |
协商观察
协商观察
# Cisco:
debug crypto ikev2 packet
debug crypto ikev2 protocol
# 华为（按版本）:
# debugging ike allIKEv2 交换流程：从 IKE_SA_INIT 到子 SA
IKEv2 流程：IKE_SA_INIT 协商算法与 DH；IKE_AUTH 完成认证并建立首个子 SA；后续 CREATE_CHILD_SA 调整子 SA，INFORMATIONAL 维护。
易错点
- 混淆 IKE_SA 与 IPsec SA：一个 IKE_SA 可承载多对子 SA
- debug 全开：日志量过大，限定过滤条件
数据来源与参考
- RFC 7296: IKEv2 交换
- Cisco: IKEv2 排障