Hlavným dôvodom, prečo je životnosť IPSec tunelov obmedzená, je bezpečnosť. Čím dlhšie tunel zostáva aktívny, tým viac času má útočník na útok a tým viac dát je šifrovaných rovnakým kľúčom relácie, čo útočníkom znižuje námahu na nájdenie kľúča.
IKE Phase 1 tunel sa používa len na zabezpečenie bezpečného pripojenia medzi VPN klientom a VPN bránou, porovnateľné s TLS pripojením (t. j. HTTPS namiesto HTTP). Cez tunel Phase 1 sa vymieňajú len správy IKE, ktoré slúžia na udržanie aktívneho pripojenia Phase 1 a vyjednávanie tunelov Phase 2 v prípade potreby. Tunel Phase 1 nemá vplyv na rýchlosť VPN, len na počiatočné nastavenie pripojenia, takže nikdy nie je dôvod, prečo by ste nemali vždy pracovať s najsilnejšou ochranou vo fáze 1, ktorú obe strany podporujú. Keďže sa cez tunel Phase 1 posiela len veľmi málo dát, niet dôvodu, prečo by ste si nemali zvoliť veľmi dlhú životnosť.
Tunely Phase 2 sa používajú na šifrovanie skutočnej dátovej komunikácie, takže nastavenie tu má priamy vplyv na réžiu, latenciu a rýchlosť VPN pripojenia a musí byť vyvážené s bezpečnosťou. Tiež sa cez tunely Phase 2 šifruje veľké množstvo dát, takže by ste nemali nastavovať ich životnosť príliš vysoko. Ak je to možné, sa vždy odporúča používať Perfect Forward Secrecy (PFS) vo fáze 2, čo síce spomaľuje nastavenie pripojenia Phase 2, ale úplne oddeľuje fázu 2 kryptograficky od fázy 1, pretože sa vyjednáva samostatný kľúč relácie a neodvodzuje sa od kľúča relácie fázy 1.
Životnosť oboch fáz je v zásade nezávislá na sebe. Tunel Phase 2 môže pokračovať v existencii, aj keď tunel Phase 1, cez ktorý bol vyjednaný, už neexistuje. Fáza 1 môže teda mať kratšiu životnosť ako fáza 2. VPN Tracker vždy včas vyjednáva nové tunely pred vypršaním životnosti, takže k prerušeniu pripojenia zvyčajne nedochádza. Pri fáze 2 tunely plynule nadväzujú, t. j. pri výmene nedôjde k strate jediného dátového paketu, takže aj pri veľmi krátkej životnosti niekoľkých minút vzniká dojem nepretržitého pripojenia. Časté zmeny tunelov Phase 2 vedú len k mierne väčšiemu dátovému prenosu a mierne väčšej výpočtovej práci na oboch stranách pripojenia.
Dôležité poznámky
Životnosť tunelov sa explicitne nevyjednáva. Štandard umožňuje, aby tunel mal na oboch stranách pripojenia rôznu životnosť. Strana, kde životnosť vyprší ako prvá, určuje ďalší postup. Len ak je VPN Tracker táto strana, môže VPN Tracker aj určiť ďalší postup a aktívne konať, inak môže VPN Tracker len pasívne reagovať. Posledné menované vždy vedie k dočasnému prerušeniu alebo dokonca úplnej strate pripojenia vo fáze 1. Pri fáze 2 závisí na tom, či druhá strana chce aktívne vyjednávať nové tunely Phase 2 alebo len zmazať staré tunely; posledné menované tiež vedie k dočasnej strate pripojenia.
Preto sa vždy odporúča nastaviť VPN Tracker na presne rovnakú životnosť ako na druhej strane, pretože VPN Tracker sa vždy pokúsi včas zasiahnuť, aby sa zabránilo strate pripojenia.
Keďže existujú aj implementácie IKE/IPSec, ktoré zmažú všetky tunely Phase 2, akonáhle sa zmaže zodpovedajúci tunel Phase 1, sa tiež odporúča zvoliť fázu 1 na zariadeniach tak dlho, ako dlho má VPN pripojenie maximálne trvať.
