阶段二协商数据面参数
阶段二协商 IPsec SA，也就是真正保护业务数据的那套参数：安全协议（多数场景使用 ESP）、加密与认证算法、PFS（完美前向保密）以及生存周期，并绑定两端需要互通的网段。修改阶段二参数会让隧道短暂重协商，生产环境要安排在低峰窗口，改完观察恢复情况再推进下一步。
基本信息
| 协议 | 多数场景使用 ESP；AH 只做认证不加密，使用较少 |
|---|---|
| 加密与认证 | 算法集合通常与阶段一保持同一阵营 |
| PFS | 完美前向保密，两端开关状态与 DH 组需一致 |
| 生存周期 | 例如 3600 秒，重协商瞬间可能出现抖动 |
| 绑定范围 | 两端需要互通的本端与对端网段，要与感兴趣流一致 |
典型使用场景
- 隧道建立后业务不通，检查阶段二绑定的网段是否正确
- 安全评审要求启用 PFS，逐条隧道核对配置
- 排查周期性抖动，确认是否由生存周期过短引起
- 跨厂商对接时把双方支持的算法集合取交集
- 变更阶段二参数后观察重协商是否平滑
阶段二参数示意
阶段二参数示意
协议：ESP
加密算法：aes256 认证算法：sha256
PFS：group14 生存周期：3600 秒
绑定网段：本端 10.10.0.0/16 <-> 对端 192.168.0.0/16
# 以上为示意值，实际按两端设备支持的算法集合取交集参数项与影响
| 参数项 | 作用 | 不一致的后果 |
|---|---|---|
| 协议选择 | 决定是否加密及报文封装方式 | 阶段二协商失败 |
| 加密与认证算法 | 保护业务数据 | 协商失败或强度不足 |
| PFS | 提升前向保密能力 | 一侧开启一侧关闭会协商失败 |
| 绑定网段 | 限定隧道承载的流量范围 | 隧道通但业务不通 |
调整阶段二参数后先观察 SA 重协商是否平滑、业务是否有瞬断，确认稳定后再进行下一步变更。
PFS 一侧开启另一侧关闭时，阶段二会协商失败；跨厂商对接前先把这类开关状态核对清楚。