Vanliga frågor och svar

Den främsta anledningen till att livslängden för IPSec-tunnlar är begränsad är säkerhet. Ju längre en tunnel är aktiv, desto mer tid har en angripare för en attack och desto mer data krypteras med samma sessionsnyckel, vilket minskar ansträngningen för angripare att hitta nyckeln. IKE Phase 1-tunneln används uteslutande för att säkerställa en säker anslutning mellan VPN-klient och VPN-gateway, jämförbart med en TLS-anslutning (dvs. HTTPS istället för HTTP). Endast IKE-meddelanden utbyts via Phase 1-tunneln, som används för att hålla Phase 1-anslutningen aktiv och vid behov förhandla om Phase 2-tunnlar. Phase 1-tunneln har ingen inverkan på VPN-hastigheten, bara på den initiala anslutningsuppbyggnaden, så det finns aldrig någon anledning att inte alltid använda starkaste skyddet i Phase 1 som båda sidor stöder. Eftersom endast mycket få data någonsin skickas via Phase 1-tunneln finns det inget som hindrar dig från att välja en mycket lång livslängd för den. Phase 2-tunnlarna används för att kryptera den faktiska datatrafiken, så inställningarna här påverkar direkt overhead, latens och hastighet på VPN-anslutningen och måste vägas mot säkerheten. Dessutom krypteras stora mängder data via Phase 2-tunnlarna, så du bör inte ställa in deras livslängd för högt. Om möjligt rekommenderas det alltid att använda Perfect Forward Secrecy (PFS) i Phase 2, vilket saktar ner uppbyggnaden av Phase 2-anslutningen något, men helt kopplar bort Phase 2 kryptografiskt från Phase 1, eftersom en oberoende sessionsnyckel förhandlas fram och inte härleds från sessionsnyckeln för Phase 1. Livslängden för de två faserna är i grunden oberoende av varandra. En Phase 2-tunnel kan fortsätta att existera även om Phase 1-tunneln över vilken den förhandlades fram inte längre finns. Därför kan Phase 1 ha en kortare livslängd än Phase 2. VPN Tracker förhandlar alltid om nya tunnlar i tid innan livslängden går ut, så att anslutningen normalt aldrig avbryts. Vid Phase 2 övergår tunnlarna sömlöst i varandra, dvs. inga datapaket går förlorade vid ett byte, vilket är varför även med en mycket kort livslängd på bara några minuter uppstår intrycket av en oavbruten anslutning. Frekventa byten av Phase 2-tunnlar leder endast till lite mer datatrafik och lite mer beräkningsarbete på båda sidor av anslutningen.

Viktiga anmärkningar

Livslängden för tunnlarna förhandlas inte uttryckligen. Standarden tillåter att en tunnel har olika livslängder på båda sidor av anslutningen. Den sida där livslängden löper ut först bestämmer därmed det vidare förfarandet. Endast om VPN Tracker är den sidan kan VPN Tracker också bestämma vad som ska hända härnäst och agera aktivt, annars kan VPN Tracker bara reagera passivt. Det senare har alltid till följd att anslutningen avbryts kortvarigt eller till och med bryts helt i Phase 1. För Phase 2 beror det på om den andra sidan vill förhandla fram nya Phase 2-tunnlar aktivt eller bara ta bort de gamla tunnlarna; det senare leder också till ett kortvarigt avbrott i anslutningen. Därför är det generellt sett lämpligt att alltid ställa in exakt samma livslängder i VPN Tracker som på den andra sidan, eftersom VPN Tracker då alltid kommer att försöka ingripa i tid för att undvika ett avbrott i anslutningen. Eftersom det också finns IKE/IPSec-implementeringar som tar bort alla Phase 2-tunnlar så snart motsvarande Phase 1-tunnel har tagits bort, är det dessutom generellt sett lämpligt att välja Phase 1 på enheter så länge en VPN-anslutning maximalt ska vara aktiv i sträck.