Signature
IKEv1 階段 1，帶有簽名的身份驗證，“可選”發送證書
在 RFC2409，第 5.1 節，身份驗證標頭如下：
HDR *，IDii，
$$ CERT, $$SIG_I HDR 是一個 ISAKMP 頭，其交換類型是模式。當寫為 HDR* 時，它表示有效負載加密。
IDii 是發起者的 ID
$$ CERT $$表示發送證書是可選的 SIG_I 是發起者的簽名。
為什麼發送證書有效負載是可選的？如何僅發送簽名就足以進行身份驗證？
許多認證密鑰交換框架 (AKE) 允許預先知道通信夥伴的證書/長期公鑰。例如，這在輕量級 AKE 中使用，以使頻寬要求盡可能低。另一個不發送證書的例子：https ://datatracker.ietf.org/wg/lake/about/ 。
為什麼發送證書有效負載是可選的？如何僅發送簽名就足以進行身份驗證？
我相信其目的是支持您沒有 PKI 的情況，因此沒有證書。在這些情況下，您將在每台設備上配置對等方的公鑰；在那種特定情況下，簽名就足夠了（因為已經知道真實的公鑰）。