关于IPsec中产生多个phase 1和多个phase 2的问题

[2236629741]

我遇到两个问题

1、多个SP是否能与同一个ISAKMP-SA（phase 1）绑定？如果可以，这些SP有什么共同点？通常来说，绑定关系是 一个SP对一个ISAKMP 还是 多个SP对一个ISAKMP?

2、使用同一个 phase 1 协商多个 phase 2 的条件是什么？

[YilinChen]

这是正常的，因为在phase1协商过程中，默认不是只有一种对称和非对称的加密算法，2端设备需要进行尝试多种可能性，直到2端设备可以互相找到匹配的加密算法，才能进入phase2 阶段，同样phase2阶段也可能存在多种加密算法的匹配协调，只有2端设备能匹配上了（2端设备均认可），才能形成正常的IPSEC TUNNEL。