show security ike security-associations

本地对等方与之通信的目标对等方的 IP 地址。

SA 的索引号。此数字是内部生成的数字，可用于显示有关单个 SA 的信息。

IKE 网关的名称。

• FPC—灵活的 PIC 集中器 （FPC） 插槽编号。

• PIC- PIC 插槽编号。

• KMD-Instance— 在 SPU 上运行的 KMD 实例的名称，由 FPC slot-number 和 PIC slot-number标识。目前，每个 SPU 上运行 4 个 KMD 实例，任何特定的 IKE 协商都由单个 KMD 实例执行。

在 IKE 会话中扮演的角色。触发 IKE 协商的设备是发起方，接受第一个 IKE 交换数据包的设备是响应方。

IKE SA 的状态：

• DOWN— SA 尚未与对等方协商。

• UP—SA 已与对等方协商。

随机数，称为 Cookie，在触发 IKE 协商时发送到远程节点。

由远程节点生成并发送回发起方以验证是否已收到数据包的随机数。

Cookie 旨在保护计算资源免受攻击，而无需花费过多的 CPU 资源来确定 Cookie 的真实性。

由两个 IPsec 终结点（或对等方）商定的协商方法，用于在彼此之间交换信息。每种交换类型或模式确定消息数和每条消息中包含的有效负载类型。模式包括：

• main—交换是通过六条消息完成的。此模式对有效负载进行加密，从而保护邻居的身份。

• aggressive—交换通过三条消息完成。此模式不会加密有效负载，使邻居的身份不受保护。

IKEv2 协议不使用模式配置进行协商。因此，该模式显示安全关联的版本号。

用于验证 IKE 消息源的方法， Pre-shared-keys IKE 消息可以是数字证书，如 DSA-signatures、 ECDSA-signatures-256、 ECDSA-signatures-384或 RSA-signatures。

本地对等方的地址。

远程对等方的地址。

IKE SA 过期前剩余的秒数。

启用后，重新身份验证触发新的 IKEv2 SA 协商之前的剩余秒数。

Enabled 意味着 IKEv2 发起方和响应方都支持消息分段，并在IKE_SA_INIT消息交换期间协商了支持。

Size 显示 IKEv2 消息分段之前的最大大小。

在 IPsec 第 2 阶段过程中，用于加密和保护对等方之间交换的 IKE 算法：

• Authentication—使用的身份验证算法类型：

  • sha1— 安全散列算法 1 身份验证。

  • md5- MD5 认证。

• Encryption—使用的加密算法类型：

  • aes-256-cbc—高级加密标准 （AES） 256 位加密。

  • aes-192-cbc— AES192 位加密。

  • aes-128-cbc—AES 128 位加密。

  • 3des-cbc—3 数据加密标准 （DES） 加密。

  • aes-128-gcm—高级加密标准 （AES） 256 位加密。

  • des-cbc—DES 加密。

  从 Junos OS 19.4R2 版开始，在层次结构级别将 [edit security ipsec proposalproposal-name] OR aes-256-gcm 配置为aes-128-gcm加密算法时，命令的 show security ikesecurity-associations detail身份验证算法字段将显示相同的已配置加密算法。

• Pseudo random function- 生成高度不可预测的随机数的函数： hmac-md5 或 hmac-sha1。

• Diffie-Hellman group— 指定执行新的 Diffie-Hellman 交换时 Diffie-Hellman 组的类型。它可以是以下项之一：

  • group1—768 位模块化指数 （MODP） 算法。

  • group2- 1024 位 MODP 算法。

  • group14- 2048 位 MODP 组。

  • group15- 3072 位 MODP 算法。

  • group16- 4096 位 MODP 算法。

  • group19—256 位随机椭圆曲线组模素数（ECP 组）算法。

  • group20—384 位随机 ECP 组算法。

  • group21—521 位随机 ECP 组算法。

  • group24- 具有 256 位素数阶子组的 2048 位 MODP 组。

• Input bytes—接收的字节数。

• Output bytes—传输的字节数。

• Input packets—接收的数据包数。

• Output packets—传输的数据包数。

• Input fragmented packets— 收到的 IKEv2 分段数据包数。

• Output fragmented packets— 传输的 IKEv2 分段数据包数。

向密钥管理进程发送 IKE 协商状态的通知：

• caller notification sent— 调用方程序收到有关 IKE 协商完成的通知。

• waiting for done——谈判完成。库正在等待远程端重新传输计时器过期。

• waiting for remove—协商失败。在删除此协商之前，库正在等待远程端重新传输计时器过期。

• waiting for policy manager— 协商正在等待策略管理器的响应。

• number created: 创建的 SA 数。

• number deleted：已删除的 SA 数。

正在进行的第 2 阶段 IKE 协商数和状态信息：

• Negotiation type— 第 2 阶段协商的类型。Junos OS 目前支持快速模式。

• Message ID— 第 2 阶段协商的唯一标识符。

• Local identity— 本地第 2 阶段协商的身份。格式为 id-type-name (proto-name:port-number,[0..id-data-len] = iddata-presentation)。

• Remote identity—远程第 2 阶段协商的身份。格式为 id-type-name (proto-name:port-number,[0..id-data-len] = iddata-presentation)。

• Flags— 向密钥管理进程发送 IKE 协商状态的通知：

  • caller notification sent— 调用方程序收到有关 IKE 协商完成的通知。

  • waiting for done——谈判完成。库正在等待远程端重新传输计时器过期。

  • waiting for remove—协商失败。在删除此协商之前，库正在等待远程端重新传输计时器过期。

  • waiting for policy manager— 协商正在等待策略管理器的响应。

本地网关的接口名称。

本地网关路由实例的名称。

指示子 IPsec 隧道 ID 的列表