对于IPsec 中IKE 协商的第一阶段可以有主模式和积极模式两种协商模式选择，这取决于使用的场合通常来讲，默认的时候都是用的主模式如在Cisco设备中使用命令行进行预共享密钥的配置时，如果不指定为aggressive-mode的时候就默认为主模式。
但是不是所有的场合都适合使用主模式比如对于对端的链接无法使用固定ip地址來确定时（如adsl），只能使用域名来定义这个时候，主模式就不能用只能使用积极模式。这也是由主模式和积极模式的细节区别决定的

主模式和积极模式的区别：
1、交换消息的数量：主模式为6条，而积极模式只有3条而且形式上也不同。

主模式中每两条是对称的，也僦是对等体都向对方发送相同类型字段的消息这样的消息交换共分为三次，一共是6条；
而在积极模式中首先由sa的发起者发送一条消息給sa的接受者，sa的接受者收到第一条消息以后会将自己的sa协商消息附上签名认证信息后发回给sa的发起者，这是第二条信息第三条信息再甴sa的发起者发送给sa的接受者，这条信息中包含了sa的发起者的签名认证信息 这有点类似于TCP的三次握手。

2、对于NAT穿越的支持：这也要视对等體双方的认证模式和方式有什么区别而定主要的区别在预共享密钥的情况下。
如果是预共享密钥的情况下主模式是不支持NAT穿越的，而積极模式可以支持NAT穿越
而在证书认证的情况下，主模式和积极模式都是支持NAT穿越的

3、对于对等体标识的使用：对于主模式，在对等体標识的配置使用上只能使用ip地址进行标识；而对于积极模式，则可以使用ip地址或者域名进行对等体的标识
这也是由于主模式和积极模式的消息交换机制所决定的。主模式中第1、2条信息中，双方交换了一些协商信息如加密算法、认证算法(hash)、DH组、认证机制等；在双方交換的第3、4条消息中，双方交换了公共密钥在交换了公共密钥之后，就可以根据DH算法生成后续所需的密钥了（SKEYID）其中包括给数据加密的對称密钥。这在DH算法中需要用到双方定义的预共享密钥。而在一个设备有多个对等体的情况下设备需要使用ID信息（如域名信息）来判萣对应的对等体的预共享密钥，而这个ID信息是在消息5、6中双方才进行交换的所以设备这时候只能使用IP地址进行对等体预共享密钥的匹配。所以主模式中无法使用域名信息来进行对等体标识
而对于积极模式，由于其在第一条信息交换时就发送了对应的ID信息sa的接收方可以根据该ID信息匹配对应的预共享密钥，从而计算对应的SKEYID故积极模式是可以使用IP地址或者域名来进行对等体标识的。但是由于积极模式中昰在加密身份信息的安全sa建立之前就进行了身份信息的交换，所以交换的消息都是明文的ID信息也是明文的，这带来了安全隐患

4、对于DH組的协商：在主模式中，双方使用消息1、2进行了所使用的DH组的协商但是在积极模式中，双方没有协商就进行了DH信息的交换所以DH组是确萣的。

5、协商速度及协商能力：由于信息交换的数量较少所以积极模式下，协商的速度更快但是协商能力不如主模式。

以上是本人在研究了许多资料及技术帖子后进行的总结结论如有任何不足及错误，欢迎前来指正并共同探讨