本文介绍IKEv2密钥管理：SKEYSEED由DH共享秘密和Nonce经PRF生成，再用prf+派生SK_d等密钥；Child SA密钥由SK_d派生，可额外DH提升PFS；TSi/TSr定义流量选择器；CREATE_CHILD_SA用于建新SA或rekey，新旧SA短暂并存；密钥需安装至内核xfrm，否则抓包仍为明文。