阶段一协商的是密钥通道
IPsec 建立隧道分两个阶段，阶段一先协商出 IKE SA，也就是后续用来保护协商过程的密钥通道，涉及加密算法、认证算法、DH 组与生存周期。四项参数两端必须逐项一致，任一项不同都会让协商停在阶段一。强度与设备性能需要平衡，跨厂商对接时把双方支持的算法集合取交集再填写。
基本信息
| 加密算法 | aes、aes192、aes256 等，部分老设备支持 3des |
|---|---|
| 认证算法 | md5、sha1、sha256 等，两端必须一致 |
| DH 组 | group1、group2、group5、group14 等，决定密钥交换强度 |
| 生存周期 | 两端差异过大时会出现周期性重协商闪断 |
| 协商依赖 | UDP 500 与 UDP 4500 需在网络中放行 |
典型使用场景
- 云上 VPN 网关与 IDC 防火墙对接，先对齐阶段一参数
- 对接只支持较弱算法的老设备，需要在安全基线与兼容性之间取舍
- 隧道周期性闪断，排查是否由生存周期差异引起
- 安全基线评审要求禁用 3des 与 md5，逐条隧道核对配置
- 多条隧道并存时统一参数模板，降低维护成本
参数对齐清单
参数对齐清单
IKE 版本：IKEv2
加密算法：aes256 认证算法：sha256 DH 组：group14
生存周期：86400 秒
逐项与对端核对后再上线
# 以上为示意值，实际以两端设备支持的算法集合取交集为准参数项与不匹配后果
| 参数项 | 作用 | 不一致的后果 |
|---|---|---|
| 加密算法 | 保护协商报文 | 阶段一协商失败 |
| 认证算法 | 校验报文完整性 | 阶段一协商失败 |
| DH 组 | 生成共享密钥 | 协商失败或强度不足 |
| 生存周期 | 触发重新协商 | 隧道周期性闪断 |
典型故障是「只对了一部分参数」：四项里剩下任一项不一致，日志里看到的就是阶段一反复协商失败，而不会明确指出是哪一项。
安全基线通常要求禁用 3des 与 md5，这类要求需要与对端设备能力协调；老设备无法升级时要在评估文档中留痕。
变更顺序
调整阶段一参数会让隧道重新协商，过程中业务可能瞬断。变更前与对端约定窗口，逐项修改并观察协商结果，避免一次改多项导致无法归因。