Usein kysytyt kysymykset

Wenn ein IKE Server eine Verbindungsanfrage erhält, und mehr als ein IKE VPN Tunnel auf diesem Server konfiguriert wurde, dann ergibt sich immer das Problem, dass der Server in der Regel schon beim ersten eingehenden Paket entscheiden muss, welcher der existierenden VPN Tunnel aufgebaut werden soll. Ein Server kann dafür nur die Informationen heranziehen, die er mit dem ersten Paket bereits erhält. Welche genau das sind, hängt vom jeweiligen Exchange Modus ab. Im Main Mode erhält ein VPN Gateway im ersten Paket die gewählten Verschlüsselungen, die gewählten Hashalgorithmen, die gewählten DH-Gruppen, die gewünschte Authentifizierung (Pre-Shared Key oder Zertifikate, aber nicht das Passwort bzw. das Zertifikat selber, diese Daten werden erst später geprüft) und die Information ob XAUTH erfolgen muss, optional erfolgen darf oder gar nicht unterstützt wird. Außerdem weiß er natürlich anhand des Netzwerk Paketes noch von welcher IP Adresse dieses gesendet wurde und an welche IP Adresse es gesendet wurde. Nur anhand dieser Informationen kann er folglich eine Entscheidung treffen. Typischer Weise verwendet man Main Mode Verbindungen für statische Gateway-zu-Gateway Tunnel, die auf beiden Seiten feste IP Adresse oder zumindest feste (ggf. auch "dynamische") DNS Namen besitzen und basieren ausschließliche auf dieser Information ihre Entscheidung. Erlaubt ein Gateway auch Main Mode Verbindungen zu Mobilnutzern mit dynamischer IP Adresse zu konfigurieren, dann erlaubt er entweder nur genau eine solche Verbindung (dann wird immer diese genommen, wenn die IP Adresse zu keiner anderen Verbindung mit statischen IP Adressen passt) oder aber er erlaubt mehrer und versucht dann die richtige Anhand der Verbindungsparameter zu erraten, was natürlich nur dann gut gehen kann wenn diese Verbindungen auch alle unterschiedliche Parameter nutzen. Passen die Parameter auf mehrere, dann wird immer eine davon gewinnen, was natürlich aber auch die falsche sein kann. Im Aggressive Mode erhält ein VPN Gateway die gleichen Informationen wie im Main Mode auch, aber zusätzlich auch noch den lokalen Identifier (Typ und Wert) der im Client eingestellt wurde. Da letzterer frei wählbar ist und somit perfekt als Unterscheidungsmerkmal dienen kann, verlassen sich fast alle Gateways im Aggressive Mode ausschließlich auf diesen Identifier, was es viel einfacher macht mehrere Aggressive Mode Verbindungen für Nutzer parallel im Betrieb zu haben. Alles was dafür notwendig ist, ist es beim jedem Tunnel einen eindeutigen "Remote Identifier" zu wählen und genau diesen dann als "Local Identifier" auf der Gegenseite einzurichten (was für den Gateway "Remote" ist, das ist für den Client "Local" und anders herum).