一张图认识IPSec，区分IKE SA（ISAKMP SA）和IPSec SA

IPSec工作在网络层，一般用于两个子网之间的通信。
IPSec主要分为两个环节，主要信息可在我的思维导图中看到，十分清晰。

第一环节使用IKE（Internet Key Exchange）完成身份鉴别、建立通信、确定安全策略和密钥
第二环节使用IPSec安全策略和密钥对数据进行保护。

为什么要有IKE SA和IPSEC SA？

主要是为了解耦，由于SA是有超时时间的，如果只有一层SA，每次协商（更新）都会产生大量的协商消息，耗费资源，降低了网络的利用率。而如果采用两阶段协商，只需要在网关间协商出一个IKE SA，然后用这个SA来为应用数据流协商IPSec SA，那么每个IPSec SA更新时可以节省资源，提高效率。