互联网密钥交换(IKE)是用来创建输入安全关联与输出安全关联的协议。IKE是一个混合协议,它使用到了三个不同协议的相关部分,即Internet安全关联和密钥交换协议、Oakley密钥确定协议和SKEME协议。
IKE分成两个阶段,即阶段1与阶段2。阶段1为阶段2创建SA;阶段2为与IPsec一样的数字交换协议创建SA。同时,IKE定义了几种模式,阶段1有两种模式,即主模式与野蛮模式阶段2仅有一种模式,即快速模式在这两个交换阶段，阶段2交换是在阶段1建立的IKE SA的保护下进行的,而阶段2没有任何安全保护,所以IKE为阶段1提供了4种认证方法,分别是预共享密钥方法、源公钥方法、修正的公钥方法和数字签名方法。
1.主模式
在主模式中,发起者和应答者通常要交换6条信息在前两条信息中,双方要协商好IKE SA所需的各项参数。在第3,4条信息中,双方交换半密钥(即Diffie-Hellman方法的gi和gr)和一些辅助参数生成共享密钥，然后双方各自将Diffie-Hellman交换的公开数字、SA和自己的身份ID作为输入生成一个Hash值。在第5,6条信息中,连同自己的ID一起发送给对方,如果双方能够重构预期的Hash值,则表明Hash计算中涉及的各个信息在传输中是完整的。
2.野蛮模式
野蛮模式相当于是主模式的压缩版,在这种模式下只交换三条信息第1条信息,发起者SA参数,Diffie-Hellman公开值和一些身份认证的数据给应答者第2条消息,如果应答者接收发起者的建议,则它回应选择好的SA,Diffie-Hellman公开值和一些身份认证的数据给发起者。第3条信息拥有认证发起者的身份。
3.快速模式
快速模式应用在阶段2中,这种模式是在由阶段1协商好的SA的保护下进行的,即IPsec SA的建立过程受到IKE SA的机密性和完整性保护,快速模式下交换的数据均是加密的。首先发起者按本地策略,发送一个或多个安全协议(AH或ESP),并给出其相应的安全参数。然后响应者从建议的一个或多个安全协议中选择一种,形成选择后的SA,发送给发起者。最后一条消息认证前面的交换。
