4. Conformance Requirements (一致性要求)

为确保所有 IKEv2 (Internet Key Exchange Protocol Version 2, 因特网密钥交换协议第 2 版) 实现能够互操作, 除别处所列要求外, 还存在若干 "必须支持 (MUST support)" 要求. 当然, IKEv2 是一种安全协议, 其主要功能之一是仅允许经授权方成功完成 SA (Security Association, 安全关联) 的建立. 因此, 某一具体实现可能针对算法与可信机构配置了多种限制, 从而无法实现与所有方的普遍互操作.

IKEv2 的设计允许存在可与所有合规实现互操作的极简实现. 下列能力在极简实现中可以省略:

经 NAT (Network Address Translation, 网络地址转换) 协商 SA 并将所得 ESP (Encapsulating Security Payload, 封装安全载荷) SA 经 UDP 隧道传输的能力.
请求 (及响应请求) 在隧道远端获得临时 IP 地址的能力.
支持基于 EAP (Extensible Authentication Protocol, 可扩展认证协议) 认证的能力.
支持大于 1 的窗口大小的能力.
在单个 IKE SA 内建立多个 ESP 或 AH (Authentication Header, 认证头) SA 的能力.
重密钥 (rekey) SA 的能力.

为保证互操作性, 所有实现必须能够解析所有载荷类型 (至少能跳过), 并忽略其不支持的载荷类型, 除非载荷首部中的 critical 位被置位. 若在不支持的载荷首部中 critical 位被置位, 所有实现必须拒收包含这些载荷的消息.

每个实现必须能够完成四报文的 IKE_SA_INIT 与 IKE_AUTH 交换, 并建立两个 SA (一个用于 IKE, 一个用于 ESP 或 AH). 若适合其平台, 实现可以仅为发起方或仅为响应方. 每个实现必须能够对 INFORMATIONAL 交换作出响应, 但极简实现可以对 INFORMATIONAL 交换中的任何请求以空响应作答 (注意, 在 IKE SA 上下文中, "空" 消息由 IKE 首部后接一个不含内部载荷的 Encrypted 载荷构成). 极简实现可以仅在足以识别请求并以类型为 NO_ADDITIONAL_SAS 的 Notify 载荷拒绝请求的范围内支持 CREATE_CHILD_SA 交换. 极简实现不必能够发起 CREATE_CHILD_SA 或 INFORMATIONAL 交换. 当 SA 依据本地配置的生存期或已传输八位组数到期时, 实现可以尝试用 CREATE_CHILD_SA 交换续期, 也可以删除 (关闭) 旧 SA 并创建新 SA. 若响应方以 NO_ADDITIONAL_SAS 通知拒绝对 CREATE_CHILD_SA 的请求, 实现必须能够改为删除旧 SA 并创建新 SA.

实现不要求支持请求临时 IP 地址或响应此类请求. 若某实现确实支持发出此类请求且其策略要求使用临时 IP 地址, 则必须在 IKE_AUTH 交换的第一条消息中包含 CP (Configuration, 配置) 载荷, 且其中至少有一个类型为 INTERNAL_IP4_ADDRESS 或 INTERNAL_IP6_ADDRESS 的字段. 其余字段均为可选. 若某实现支持响应此类请求, 则必须解析 IKE_AUTH 交换第一条消息中类型为 CFG_REQUEST 的 CP 载荷, 并识别类型为 INTERNAL_IP4_ADDRESS 或 INTERNAL_IP6_ADDRESS 的字段. 若其支持按请求类型租约地址, 则必须返回类型为 CFG_REPLY 的 CP 载荷, 其中包含所请求类型的地址. 响应方可以包含任何其他相关属性.

若要将某实现称为符合本规范, 必须能够将其配置为接受下列情况:

使用 X.509 PKIX (Public Key Infrastructure using X.509, 基于 X.509 的公钥基础设施) 证书, 证书含 1024 或 2048 位 RSA 密钥并由其签名, 所传递的 ID 为 ID_KEY_ID, ID_FQDN, ID_RFC822_ADDR 或 ID_DER_ASN1_DN 中的任意一种.
共享密钥认证, 所传递的 ID 为 ID_KEY_ID, ID_FQDN 或 ID_RFC822_ADDR 中的任意一种.
响应方使用 PKIX 证书认证, 发起方使用共享密钥认证.

4. Conformance Requirements (一致性要求)​

4. Conformance Requirements (一致性要求)