ฉันสร้าง IPsec VPN มาหลายปีแล้ว แต่จริงๆแล้วฉันไม่เคยเข้าใจถึงความแตกต่างทางเทคนิคระหว่าง IKE และ ISAKMP ฉันมักจะเห็นคำสองคำที่ใช้แทนกันได้ (อาจไม่ถูกต้อง)
ฉันเข้าใจสองขั้นตอนพื้นฐานของ IPsec และ ISAKMP นั้นดูเหมือนว่าจะเกี่ยวข้องกับเฟสแรกเป็นหลัก ตัวอย่างเช่นคำสั่ง IOS "show crypto isakmp sa" แสดงข้อมูล IPsec เฟสหนึ่ง แต่ไม่มีคำสั่งเทียบเท่าสำหรับ IKE
คำตอบ:
ISAKMP เป็นส่วนหนึ่งของ IKE (IKE มี ISAKMP, SKEME และ OAKLEY) IKE สร้างนโยบายความปลอดภัยที่ใช้ร่วมกันและคีย์ที่ใช้งาน ISAKMP เป็นโปรโตคอลที่ระบุกลไกการแลกเปลี่ยนคีย์
ความสับสน (สำหรับฉัน) คือใน Cisco IOS ISAKMP / IKE ใช้เพื่ออ้างถึงสิ่งเดียวกัน โดยที่ฉันหมายถึงความเข้าใจของฉันคือ IKE ของ Cisco ใช้ / ใช้ ISAKMP เท่านั้น ดังนั้นหนึ่งกำหนดค่า IKE และจากนั้นภายในแนวคิดหนึ่งกำหนดค่า ISAKMP
โปรดตรวจสอบว่าสิ่งนี้ช่วยได้หรือไม่ฉันรู้ว่าฉันมาสาย :)
ใช่นี่คือจากบทความ Wikipedia สมาคมความปลอดภัยทางอินเทอร์เน็ตและ Key Management Protocolแต่ฉันไม่เห็นการอ้างอิงใด ๆ จนถึง Wiki / RFC ที่นี่ในการสนทนา
ISAKMP กำหนดขั้นตอนการตรวจสอบความถูกต้องของเพื่อนการสื่อสารการสร้างและการจัดการสมาคมความปลอดภัยเทคนิคการสร้างกุญแจและการลดภัยคุกคาม (เช่นการปฏิเสธการให้บริการและการโจมตีซ้ำ) ตามกรอบ ISAKMP จะถูกใช้โดย IKE สำหรับการแลกเปลี่ยนคีย์แม้ว่าวิธีการอื่น ๆ ได้ถูกนำไปใช้เช่น Kerberized Internet Negotiation of Keys Preliminary SA เกิดขึ้นโดยใช้โปรโตคอลนี้ หลังจากนั้นจะทำการ keying ใหม่
ISAKMP กำหนดกระบวนการและรูปแบบแพ็คเก็ตเพื่อสร้างเจรจาปรับเปลี่ยนและลบ Security Associations SAs มีข้อมูลทั้งหมดที่จำเป็นสำหรับการดำเนินการบริการรักษาความปลอดภัยเครือข่ายที่หลากหลายเช่นบริการเลเยอร์ IP (เช่นการตรวจสอบส่วนหัวและการห่อหุ้มส่วนของข้อมูล) การขนส่งหรือบริการแอพพลิเคชั่นเลเยอร์ ISAKMP กำหนด payloads สำหรับการแลกเปลี่ยนการสร้างคีย์และข้อมูลการรับรองความถูกต้อง รูปแบบเหล่านี้จัดทำเฟรมเวิร์กที่สอดคล้องกันสำหรับการถ่ายโอนคีย์และข้อมูลการตรวจสอบความถูกต้องซึ่งไม่ขึ้นอยู่กับเทคนิคการสร้างคีย์อัลกอริทึมการเข้ารหัสและกลไกการพิสูจน์ตัวตน
ISAKMP นั้นแตกต่างจากโปรโตคอลการแลกเปลี่ยนคีย์เพื่อแยกรายละเอียดของการจัดการความปลอดภัย (และการจัดการคีย์) ออกจากรายละเอียดของการแลกเปลี่ยนคีย์ อาจมีโปรโตคอลการแลกเปลี่ยนคีย์ที่แตกต่างกันจำนวนมากแต่ละอันมีคุณสมบัติความปลอดภัยที่แตกต่างกัน อย่างไรก็ตามจำเป็นต้องมีกรอบงานทั่วไปสำหรับการยอมรับรูปแบบของคุณลักษณะ SA และสำหรับการเจรจาปรับเปลี่ยนและลบ SAs ISAKMP ทำหน้าที่เป็นกรอบทั่วไปนี้
ISAKMP สามารถใช้งานผ่านโปรโตคอลการขนส่งใด ๆ การใช้งานทั้งหมดจะต้องมีความสามารถในการส่งและรับสำหรับ ISAKMP โดยใช้ UDP บนพอร์ต 500
พูดจริง - IKE, Internet Key Exchange (IKE) มีความหมายเหมือนกันกับ Internet Management Association Key Management Protocol (ISAKMP)