IKEv1中主模式与野蛮模式区别？（面试题）

Posted 2021-03-04

主模式与野蛮模式区别？（面试题）

总分总的方式进行回答
? 交换的消息：主模式为6个消息，野蛮模式为3个消息，野蛮模式能够更快创建IKE SA
? NAT支持：对预共享密钥认证（因为需要靠IP地址来找到对方）：主模式不支持NAT转换（没有开启NAT-T）当然华为默认情况下 开启了NAT-T 所以 主模式也可以穿越NAT的环境，而野蛮模式支持（不开启NAT-T）即使在没有开启NAT-T的情况下 野蛮模式也可以穿越NAT的环境。而对于证书方式认证：两种模式都能支持。
? 对等体标识：主模式只能采用IP地址方式标识对等体；而野蛮模式可以采用IP地址方式或者Name方式标识对等体（DN FQDN User-FQDN）。这是由于主模式在交换完3、4消息以后，需要使用预共享密钥来计算SKEYID（pre-share-key Ni| Nr），当一个设备有多个对等体时，必须查找到该对等体对应的预共享密钥，但是由于其对等体的ID信息在消息5、6中才会发送，此时主模式的设备只能使用消息3、4中的IP报文源地址来找到与其对应的预共享密钥；如果主模式采用Name方式，Name信息却包含在消息5、6中，而设备必须在消息5、6之前找到其对等体的预共享密钥，所以就造成了矛盾，无法完成Name方式的标识。 （主模式只支持IP地址方式标识对等体，不支持NAME方式）
? 而在野蛮模式中，ID消息在消息1、2中就已经发送了，设备可以根据ID信息查找到对应的预共享密钥，从而计算SKEYID。但是由于野蛮模式交换的2个消息没有经过加密，所以ID信息也是明文的，也相应造成了安全隐患。
? （野蛮支持IP地址方式标识对等体，也可以NAME方式，但是ID是明文的，不安全，华为推荐使用模板方式）
? 4、提议转换对数量：在野蛮模式中，由于第一个消息就需要交换DH消息，而DH消息本身就决定了采用哪个DH组，这样在提议转换对中就确定了使用哪个DH组，如果第一个消息中包含多个提议转换对，那么这多个转换对的DH组必须相同(和DH消息确定的DH组一致)，否则消息1中只能携带和确定DH组相同的提议转换对。
? 协商能力：由于野蛮模式交换次数的限制，因此野蛮模式协商能力低于主模式。
? 主模式的认证是在加密的环境下进行的，野蛮模式在非加密环境下进行；野蛮模式采用预共享密钥的场景下不依赖于IP地址的标示，因此支持动态IP地址的场景。（应用场景角度）
? 主模式常用，野蛮已经不推荐使用（华为野蛮模式必须配置remote-address，考虑安全问题）
? 两者之间的协商过程不同（开展说）
主模式 6个消息