9.2.1 隧道端点之间的协商

9.2.1 隧道端点之间的协商

本节规定 IPsec 隧道端点如何协商在 IPsec 隧道外层头部中使用 ECN. 该协商机制允许隧道端点就 ECN 使用 limited-functionality option 还是 full-functionality option 达成一致.

协商使用 IPsec 的 Security Association (SA) 建立过程来传达 ECN 能力和偏好. 在 SA 建立期间, 隧道端点可以指示:

• 它们是否完全支持 ECN
• 它们是否只支持 limited-functionality option, 或同时支持两个选项
• 它们偏好使用哪个选项

如果两个隧道端点都支持并同意使用 ECN, 它们可以建立允许在隧道外层头部中使用 ECN 功能的 SA. 如果任一端点不支持 ECN, 或因安全原因偏好不使用 ECN, SA 将被配置为使用 limited-functionality option (外层头部中为 not-ECT).

该协商机制为安全管理员提供灵活性, 使其能够基于安全策略和风险评估对 ECN 使用作出知情决定. 它确保只有在两个隧道端点都明确支持并同意时才使用 ECN.

以下小节描述 IPsec 隧道中 ECN 协商的具体机制.