IKE 是 IPsec 的协商协议
IKE 负责在两端之间协商出 IPsec 所用的密钥与安全参数，协商不成功就没有后续的加密隧道。版本是它的第一个关键选项：IKEv1 与 IKEv2 不兼容，两端必须选同一版本。IKEv2 报文交互更少、对 NAT 穿越与断线重连更友好；IKEv1 的优势只在于老设备的兼容性。
基本信息
| IKEv1 主模式 | 对端公网 IP 固定时使用，交互消息较多 |
|---|---|
| IKEv1 野蛮模式 | 对端地址不固定时使用，交互更少但暴露信息更多 |
| IKEv2 | 协商过程简洁，支持 NAT 场景下的重连，两端都支持时一般优先 |
| 对齐原则 | 版本与参数集合两端必须一致，任一项不同都协商失败 |
| 传输依赖 | UDP 500 与 UDP 4500 需放行 |
典型使用场景
- 云上 VPN 网关与自建 IDC 设备对接，需要确认双方支持的版本
- 对接仅支持 IKEv1 的老型号防火墙，被迫降级协商
- 分支出口使用动态公网地址，需要评估是否改野蛮模式
- 排查 SA 建不起来时，先确认双方版本是否一致
- 有多条隧道时统一版本与参数，降低排障复杂度
查看连接协商信息
查看连接协商信息
# 阿里云：查看 IPsec 连接的 IKE 配置与状态
aliyun vpc DescribeVpnConnection --RegionId cn-hangzhou --VpnConnectionId vco-xxxxx
# 腾讯云：查看 VPN 通道的 IKE 版本与协商状态
tccli vpc DescribeVpnConnections --Region ap-guangzhou
# 参数名与返回结构以厂商文档为准，不要照搬示例字段版本选择对照
| 选项 | 适用条件 | 代价 |
|---|---|---|
| IKEv2 | 两端都支持 | 无，通常首选 |
| IKEv1 主模式 | 对端仅支持 v1 且 IP 固定 | 交互多，重连慢 |
| IKEv1 野蛮模式 | 对端公网 IP 不固定 | 安全强度与兼容性需评估 |
| 混合配置 | 过渡期两端能力不同 | 需逐条隧道核对方案 |
跨厂商对接时能力差异明显：一侧只支持 IKEv1 主模式时，另一侧要相应调整，否则 SA 会一直停在阶段一协商失败。
中间网络如果做了 NAT，IKEv2 通常能靠 4500 端口的 NAT-T 正常协商；这也是它比 v1 更适合复杂网络的原因之一。
变更注意事项
修改 IKE 版本会让已建立的隧道重新协商，期间业务可能瞬断，变更应安排在低峰窗口并提前通知对端同步调整参数。