Virtual vpn in the cloud

Step 3:
IKE phase two – To create IPSec Security Association, SA.
Phase 2:
After the successful negotiation of IKE SAs, IKE phase two concentrates on 
the negotiation of IPSec SAs to build a secure channel across peers. 
The goals of IKE phase two are as follows: 
•
Negotiate IPSec SA parameters already protected by IKE SAs 
•
Establishment of IPSec security associations 
•
Periodically renegotiate IPSec SAs to ensure data security 
Working:
Phase 2 requires a transform set, placed inside another logical construct and 
given a name like IPSec profile. This set defines how the end user data is made secure by 
matching IPSec profiles or matching transform sets between the routers. If there exist 
matching security parameters, two security associations are established. One ISAKMP 
SA is established and two IPSec SAs are established. ISAKMP SA is bi-directional and 
each IPSec SA is unidirectional. Hence an outbound SA exists to manage traffic from a 
node 1 to a node 2, and an inbound SA for traffic coming from node 2 to node 1 is 
required as well. Hence outbound SA exists to route traffic from router 1 to router 2, and 
an inbound SA for traffic coming from router 2 to router 1. Hence for one VPN tunnel 
there exists three SAs. One being for management, second for outbound data and the 
other for inbound data. Each SA is associated with Security Parameter Index, SPI, which 
is a 32-bit serial number. 
If the data transmitted across the tunnel is sniffed using a packet analyzer tool 
called Wireshark, IP and ESP packets are observed at layer 3. The SPI is used to indicate 
the SA on the receiving node. The SPI may be the same on the inbound and outbound 
traffic. The SPI is just a number that the receiver uses to lookup the SA for this traffic 
and applies the correct policies. 

---

18 
The major difference between IKEv1 and IKEv2 is the number of messages exchanged. 
IKEv1 functions in two phases: Phase1 (Main mode – 6 messages or Aggressive mode – 
3 messages) and Phase 2 (Quick mode – 3 messages).
IKEv2 has no defined phases but makes use of four different messages: 
IKE_SA_INIT
, 
IKE_AUTH
, 
CREATE_CHILD_SA
and 
INFORMATIONAL
. 
A detailed description on the working of IKE v1 and v2 can be studied in [29].