如何管理会话密钥——密钥交换
保护密钥交换阶段的密钥的强度通过以下特性被增强：
1、密钥生命期
生命期设置决定何时生成新密钥。任何时候当密钥的生命期到达时，相关的 SA 也将重新协商。在一定的时间间隔内重新生成新的密钥的过程被称为动态重新生成密钥或密钥重新生成。生命期允许您在一定的时间间隔后强制生成（重新生成）新的密钥。例如，如果通讯需要 100 分钟并且您指定的密钥生命期为10 分钟，那么，在交换的过程中将生成 10 个密钥，每 10 分钟一个。使用多个密钥保证了即使攻击者获得了一部分通讯的密钥，也不会危及全部通讯的安全。密钥的自动重新生成由默认设置提供。专家级用户可以覆盖默认值，通过会话密钥或“完整转寄保密”指定一个主密钥生命期（以分钟为单位）。
设置不同的密钥生命期时应倍加小心，因为他们也将决定 SA 的生命期。例如，设置主密钥生命期为 8 小时（480 分钟），会话生命期（在“筛选器操作”中设置）为 2 小时将导致在 ISAKMP SA 过期后 IPSec SA 仍保留 2 小时。如果新的 IPSec SA 正好在 ISAKMP SA 过期前生成，就会发生这种情况。
2、会话密钥限制
再三地从相同的主密钥重新生成密钥将最终危及该密钥的安全。例如，假如计算机 A 上的 Bob 发送一条消息给计算机 B 上的 Alice，然后过了几分钟又发送一条消息给 Alice，由于与该计算机刚建立安全关系，相同的密钥材料可以重用。如想限制该重用次数，专家级用户可以指定一个会话密钥限制。
注意，如果您决定启用主密钥的“完整转寄保密”，会话密钥限制将被忽略；PFS 每次都强制重新生成密钥。例如，启用主密钥的“完整转寄保密”相当于将会话密钥限制指定为 1。
请注意，如果您既指定主密钥生命期（以分钟为单位），又指定会话密钥限制，任何一个首先到达的时间间隔将触发新的密钥。
3、主密钥“完整转寄保密”(PFS)
确定新密钥是如何生成的。启用 PFS 保证密钥被用来保护传输，而无论在哪个阶段都不能够被用于生成其他的密钥。另外，密钥的密钥材料不能用来生成任何新的密钥。
应小心使用主密钥 PFS，因为它需要重新进行身份验证。对于网上的域控制器来说，这可能导致额外的开销。这并不需要在两端都启用。
