Den primære årsag til, at levetiden for IPSec-tunneler er begrænset, er sikkerhed. Jo længere en tunnel er aktiv, jo mere tid har en angriber til et angreb og jo flere data krypteres med den samme sessionsnøgle, hvilket reducerer indsatsen for angribere til at finde nøglen.
IKE Fase 1-tunnelen bruges udelukkende til at sikre en sikker forbindelse mellem VPN-klient og VPN-gateway, svarende til en TLS-forbindelse (dvs. HTTPS i stedet for HTTP). Kun IKE-beskeder udveksles via Fase 1-tunnelen, som bruges til at holde Fase 1-forbindelsen aktiv og til at forhandle Fase 2-tunneler efter behov. Fase 1-tunnelen har ingen indflydelse på VPN-hastigheden, kun på den første forbindelsesopbygning, så der er aldrig nogen grund til ikke altid at arbejde med den stærkeste beskyttelse i Fase 1, som begge sider understøtter. Da der kun sendes meget få data via Fase 1-tunnelen, er der ingen grund til ikke at vælge en meget lang levetid for den.
Fase 2-tunnelerne bruges til at kryptere den faktiske datatrafik, så indstillingerne her har direkte indflydelse på overhead, latens og hastighed af VPN-forbindelsen og skal afvejes mod sikkerheden. Derudover krypteres store mængder data via Fase 2-tunnelerne, så du bør ikke indstille deres levetid for højt. Hvis det er muligt, anbefales det altid at bruge Perfect Forward Secrecy (PFS) i Fase 2, hvilket bremser Fase 2-forbindelsesopbygningen lidt, men fuldstændig afkobler Fase 2 kryptografisk fra Fase 1, da en uafhængig sessionsnøgle forhandles og ikke udledes af sessionsnøglen i Fase 1.
Levetiderne for de to faser er grundlæggende uafhængige af hinanden. En Fase 2-tunnel kan fortsætte med at eksistere, selvom den Fase 1-tunnel, som den blev forhandlet over, ikke længere eksisterer. Derfor kan Fase 1 have en kortere levetid end Fase 2. VPN Tracker forhandler altid nye tunneler i tide før udløbet af levetiden, så forbindelsen normalt aldrig afbrydes. Med Fase 2 er tunnelerne problemfrit forbundet, hvilket betyder, at ikke et eneste datapakke går tabt under en udveksling, og derfor skabes indtrykket af en uafbrudt forbindelse, selv med en meget kort levetid på kun få minutter. Hyppige ændringer af Fase 2-tunneler fører kun til lidt mere datatrafik og lidt mere beregningsarbejde på begge sider af forbindelsen.
Vigtige bemærkninger
Levetiden for tunnelerne forhandles ikke eksplicit. Standarden tillader, at en tunnel har forskellige levetider på begge sider af forbindelsen. Den side, hvor levetiden udløber først, bestemmer den videre procedure. Kun hvis VPN Tracker er denne side, kan VPN Tracker også bestemme, hvad der skal ske næste gang og handle aktivt, ellers kan VPN Tracker kun reagere passivt. Sidstnævnte vil altid resultere i en kortvarig afbrydelse eller endda et fuldstændigt tab af forbindelsen i tilfælde af Fase 1. For Fase 2 afhænger det af, om den anden side ønsker at forhandle nye Fase 2-tunneler aktivt eller kun slette de eksisterende; sidstnævnte fører også til et kortvarigt forbindelsestab.
Det er derfor altid bedst at indstille VPN Tracker til samme levetid som den anden side, fordi VPN Tracker altid vil forsøge at gribe ind i tide for at undgå et forbindelsestab.
Da der også findes IKE/IPSec-implementeringer, der sletter alle Fase 2-tunneler, så snart den tilsvarende Fase 1-tunnel er slettet, er det desuden altid en god idé at vælge Fase 1 på enheder for at matche den maksimale VPN-sessionstid, der forventes.
