随着Internet 不断地壮大发展,它的安全问题也日益突出。IPSec 协议族是解决公用网上IP 数据传输安全性的一个有效手段。IKE(Internet Key Exchange)协议是IPSec(IP Security)协议族中最重要的协议之一,它为使用IPSec 进行安全通信的两个网络节点(主机或者路由器)之间提供身份认证、协商安全关联和生成共享密钥等机制,并对安全关联数据库进行填充。就目前而言,在Linux 上IKE 协议的实现并非为一个可独立运行的软件,而是做为其他IPSec 套件(如FreeS/WAN)的一部分来实现的。这种实现方式将IPSec 对报文的处理和IKE 协议的实现混合在一起,既增加了IKE 协议实现的复杂性,又破坏了IKE 协议的独立性,也不利于IKE 协议自身一些功能的扩展。而在2003 年底发布的Linux 2.6 内核已经实现了IPSec 处理和数据加解密处理,这样要求IKE 协议的实现必须同IPSec 实现分离。并且2.6 内核支持PF_KEY 套接字。这样,IKE 协议的实现可以在用户空间实现,利用PF_KEY 套接字与内核进行通信,为IPSec 提供自动协商的SA。针对这种情况,我们有必要重新设计实现IKE 协议。我们在实现IKE 协议的时候,着重考虑了Linux2.6 内核的特点和IPSec 协议的需求,以求设计出合理的IKE 结构模型,从而降低实现复杂度,提高可理解性和增强可扩展性。论文首先深入地分析了IKE 协议,包括IKE 协议的组成、IKE 协议消息的格式以及IKE 协议协商的过程,然后对协议可能受到的各种安全攻击进行了分析并提出了相应的解决办法,在此基础上深入地研究了IKE 协议在Linux 上的实现,从而提出了一个可行的基于Linux 2.6 内核的IKE 协议实现方案,并且对事件处理子系统、与内核交互子系统的具体实现进行了详细的描述。最后对IKE协议实现软件进行了测试。