IKEv1 について

IKEv1 では、認証情報を交換するために 2 つのモードが使用されます。

• メイン モード: VPN を起動するノードまたはゲートウェイは、受信側のノードまたはゲートウェイに問い合わせて、認証方式、公開鍵、および識別情報を交換します。この処理では通常 6 つのメッセージを送受信する必要があります。メイン モードでは、認証メッセージが次のような順序で処理されます。
  1. 開始側が自らサポートしている暗号化アルゴリズムのリストを送信する
  2. サポートされている暗号化アルゴリズムのリストを、応答側が使用して応答する
  3. 相互にサポートされている最初の暗号化アルゴリズム用の公開鍵 (Diffie-Helman 公開/秘密鍵のペアの一部) を開始側が送信する
  4. 応答側が同じ暗号化アルゴリズムの公開鍵を使用して応答する
  5. 開始側が識別情報 (通常は証明書) を送信する
  6. 応答側が識別情報を使用して応答する

• アグレッシブ モード: 認証時に交換されるメッセージの数を半減するために、どの暗号化アルゴリズムを使用したらよいかについてのネゴシエーションが省略されます。ある特定のアルゴリズムを開始側が提案すると、応答側はそのアルゴリズムをサポートしているかどうかについての応答を返します。 たとえば、次のようになります。
  1. 開始側が自らの公開鍵を使用/送信するための暗号化アルゴリズムを提案する
  2. 応答側が公開鍵および識別証明を使用して応答する
  3. 開始側が識別証明を送信する 認証後は、VPN トンネルが 2 つの SA を使用して確立されます。それぞれ、一方のノードから他方のノードへの SA です。