IKE 状态怎么读
IKE 阶段一的状态机反映协商进度：主模式从 MM_NO_STATE 起步，做完 DH 与身份交换进入 MM_KEY_EXCH，最终到达 QM_IDLE 表示阶段一就绪；IKEv2 则常见 READY 与已建立状态。长时间卡在中间状态，通常说明对端无响应或参数被拒，而不是设备故障。
基本信息
| MM_NO_STATE | 主模式初始，尚未完成任何交换 |
|---|---|
| MM_KEY_EXCH | 正在做 DH 与身份交换 |
| QM_IDLE | 快速模式空闲，阶段一已建立完成 |
| IKEv2 | 常见 READY 与已建立状态 |
| 查看命令 | show crypto isakmp sa、show crypto ikev2 sa |
典型使用场景
- 隧道不通时判断协商走到了哪一步
- 排障「反复重试」：确认对端是否真的收到请求
- 割接验收：确认阶段一稳定处于就绪状态
- 跨厂商对接：对照两端状态描述，避免术语误解
- 记录基线：把正常与异常状态区分开，便于快速判断
查看状态
查看状态
# Cisco IKEv1
show crypto isakmp sa
# 输出中 QM_IDLE 表示阶段一已建立
# Cisco IKEv2
show crypto ikev2 sa | include STATUS
# 华为
display ike sa状态含义
| 状态 | 含义 | 常见原因 |
|---|---|---|
| MM_NO_STATE | 刚起步或协商失败 | 对端未响应，参数不匹配 |
| MM_KEY_EXCH | 正在交换密钥 | 长时间停留说明后续交换未完成 |
| QM_IDLE | 阶段一就绪 | 正常，等待流量触发子 SA |
| IKEv2 已建立 | SA 可用 | 正常状态 |
看到 MM_NO_STATE 反复重试不要直接重启设备：先确认对端是否收到请求，重启会丢掉现场证据，问题也可能只是参数不匹配。
QM_IDLE 只表示阶段一就绪：子 SA 需要流量触发建立，把它当成「隧道完全可用」是常见误判。
不同厂商的状态命名不同：跨厂商排障时用「阶段一是否建立、阶段二是否就绪」这样的功能描述沟通，比纠结状态字符串有效得多。
状态与日志要结合看：状态反映当前结果，日志记录变化过程与原因，只盯其中一项容易遗漏关键线索。
记录一次正常建立的状态与耗时作为基线：之后出现异常时可以快速比对，判断是参数变化还是对端问题。