两种认证方式的选择
IPsec 阶段一必须先确认「对面是谁」，这一步的凭据只有两类：预共享密钥（PSK）和数字证书（PKI）。PSK 是两端配置同一串口令，靠地址或名称匹配对端，配置两行就能通；证书则由 CA 签发，两端用私钥签名、用对方证书里的公钥验证，身份与公网地址解耦。判断标准很直接：站点数量少、对端地址固定，用 PSK 更省事；站点多、地址会变、需要按站点吊销、或者审计要求说明密钥生命周期，就上 PKI。
基本信息
| 匹配依据 | PSK 按源地址或身份名；证书按证书主题与 SAN |
|---|---|
| 密钥材料 | PSK 为共享口令；证书为本地私钥加对端公钥 |
| 吊销能力 | PSK 只能靠改口令；证书可 CRL/OCSP 吊销 |
| 扩展性 | PSK 站点数增加时密钥数量平方级增长 |
| 典型场景 | 小型点对点用 PSK；Hub-Spoke 与云接入用证书 |
| 常见误配 | PSK 与对端地址不匹配时表现为阶段一超时 |
典型使用场景
- 两条分支机构链路互联，地址固定：PSK 最容易维护
- 总部 Hub 对接几十个 Spoke：证书集中签发，新增站点不用改 Hub 配置
- 动态公网地址或拨号接入：PSK 无法按地址匹配，必须用证书或身份标识
- 需要单独吊销某站点权限：证书方案可以直接吊销，PSK 要全量换口令
- 合规审计要求提供算法、有效期与吊销记录：PKI 更容易给出证据链
Cisco 配置对照
Cisco 配置对照
# 方案一：预共享密钥，按对端地址匹配
crypto isakmp key MySecret address 203.0.113.2
crypto isakmp policy 10
authentication pre-share
! 方案二：证书认证，先生成密钥对并申请证书
crypto pki trustpoint TP1
enrollment url http://ca.example.com
subject-name CN=site1.example.com
crypto isakmp policy 20
authentication rsa-sig
! 查看证书与信任点状态
show crypto pki certificates TP1方案对照表
| 维度 | PSK | 证书（PKI） |
|---|---|---|
| 部署成本 | 低，两端写同一口令 | 需 CA 与签发流程 |
| 扩展性 | 站点增多时维护量上升 | 集中签发与自动注册 |
| 标识方式 | 按地址或名称匹配 | 按证书主题匹配 |
| 轮换 | 需两端同时改，存在窗口 | 证书到期前可预先替换 |
| 吊销 | 无技术手段 | 支持 CRL 与 OCSP |
| 合规表达 | 难以追溯 | 有效期与吊销记录完整 |
PSK 与证书并不互斥：迁移期可以按 crypto map 或 ikev2 profile 的序列先切一部分对端，验证通过后再逐批替换。
PSK 一旦泄露等于所有使用该密钥的隧道同时失守；用弱口令或全公司统一口令，风险与明文专线没有本质区别。