IKE协商两端参数对不上就失败？华为IKE安全提议先配好这几项
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
IPsec 隧道建立的第一阶段是 IKE 协商，很多"隧道起不来"的问题其实出在 IKE 提议两端参数没对齐。华为防火墙把 IKE 协商使用的参数收在"IKE 安全提议"里，包括加密算法、认证方法、认证算法、DH 组和 IKE SA 的生存周期。先理解它的工作机制：协商发起方会把自己的 IKE 安全提议发送给协商响应方，响应方从自身优先级最高的 IKE 安全提议开始按序匹配，匹配到的第一个提议用来建立 IKE SA；提议优先级由序号决定，数值越小优先级越高。匹配原则是：协商双方具有相同的加密算法、认证方法、认证算法和 DH 组（国密认证场景下不要求 DH 组相同），匹配到的 IKE SA 生存周期取两端的最小值。
缺省情况下，系统存在一个优先级最低、参数为缺省配置的 IKE 安全提议 Default。如果创建提议时只指定序号，提议内参数默认为缺省配置。
下面是配置步骤。第一步，进入系统视图，创建 IKE 安全提议并进入提议视图。
system-view
ike proposal { proposal-number | default }
第二步，配置身份认证方法。
authentication-method { pre-share | rsa-signature | sm2 digital-envelope | ecdsa-signature }
缺省情况下使用 Pre-shared Key 认证方法，也就是中小场景最常用的预共享密钥方式。注意官方提示：两端对等体使用的认证方法必须保持一致，否则会导致 IKE 协商失败；另外国密数字信封认证方式仅 IKEv1 协商场景支持，需要安装 IKEv1 特性包；ECDSA 签名认证方式仅 IKEv2 协商场景支持。
第三步，配置 IKEv1 协商所使用的身份认证算法。
authentication-algorithm { md5 | sha1 | sha2-256 | sha2-384 | sha2-512 | sm3 }*
缺省情况下为 SHA2-256。官方明确给出了算法安全级别由高到低的顺序：SM3 > SHA2-512 > SHA2-384 > SHA2-256 > SHA1 > MD5，并注明不建议使用 MD5 和 SHA1 算法，否则无法满足安全防御的要求。
第四步，配置 IKE 协商所使用的身份加密算法。
encryption-algorithm { des | 3des | aes-128 | aes-192 | aes-256 | sm4 | aes-gcm-128 | aes-gcm-192 | aes-gcm-256 }*
缺省情况下为 AES-GCM-256。安全级别顺序是 SM4 > AES-GCM-256 > AES-GCM-192 > AES-GCM-128 > AES-256 > AES-192 > AES-128 > 3DES > DES；不建议使用 DES、3DES 和 CBC 模式的 AES 算法。
第五步，配置 IKE 协商时采用的 DH 密钥交换组。
dh { group1 | group2 | group5 | group14 | group15 | group16 | group18 | group19 | group20 | group21 | group24 }*
缺省情况下为 Group14。安全级别顺序是 Group24 > Group21 > Group20 > Group19 > Group18 > Group16 > Group15 > Group14 > Group5 > Group2 > Group1；不建议使用 Group1、Group2 和 Group5。国密认证场景下无需配置 DH 组，协商时不会校验双方的 DH 组配置。
第六步，IKEv2 场景还有两项专属配置。伪随机数产生函数的算法：
prf { aes-xcbc-128 | hmac-md5 | hmac-sha1 | hmac-sha2-256 | hmac-sha2-384 | hmac-sha2-512 }*
缺省情况下为 HMAC-SHA2-256，不建议使用 AES-XCBC-128、HMAC-MD5 和 HMAC-SHA1。IKEv2 的身份认证算法：
integrity-algorithm { aes-xcbc-96 | hmac-md5-96 | hmac-sha1-96 | hmac-sha2-256 | hmac-sha2-384 | hmac-sha2-512 }*
缺省情况下为 HMAC-SHA2-256。
配置完成后怎么验证？在用户视图下执行 display ike proposal [ number proposal-number | default ] [ slot slot-id cpu cpu-id ] 命令，查看 IKE 安全提议的配置信息，逐项核对两端的认证方法、加密算法、认证算法和 DH 组是否一致。配好的提议需要在 IKE 对等体中引用才参与协商；如果多端对接，把最常用的参数组合放在序号更小的提议里，协商匹配会更快。
两端参数严格对齐加一组够用的算法，IKE 协商基本一次就过。欢迎搜索关注贵州诚鑫致达科技，交流企业间加密组网的落地经验。
企业存储选型参考｜贵州诚鑫致达
做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。