Hlavním důvodem, proč je životnost IPSec tunelů omezena, je bezpečnost. Čím déle tunel zůstává aktivní, tím více času má útočník na útok a tím více dat je šifrováno stejným klíčem relace, což útočníkům usnadňuje nalezení klíče.
IKE Phase 1 tunel se používá pouze k zajištění zabezpečeného připojení mezi VPN klientem a VPN bránou, srovnatelně s TLS připojením (tj. HTTPS namísto HTTP). Přes tunel Phase 1 se vyměňují pouze zprávy IKE, které slouží k udržování aktivního připojení Phase 1 a vyjednávání tunelů Phase 2 v případě potřeby. Tunel Phase 1 nemá vliv na rychlost VPN, pouze na počáteční nastavení připojení, takže nikdy není důvod, proč byste neměli vždy pracovat s nejsilnější ochranou ve fázi 1, kterou obě strany podporují. Vzhledem k tomu, že se přes tunel Phase 1 odesílá jen velmi málo dat, není důvod, proč byste si neměli zvolit velmi dlouhou životnost.
Tunely Phase 2 se používají k šifrování skutečného datového provozu, takže nastavení zde má přímý vliv na režii, latenci a rychlost VPN připojení a musí být vyváženo s bezpečností. Také se přes tunely Phase 2 šifruje velké množství dat, takže byste neměli nastavovat jejich životnost příliš vysoko. Pokud je to možné, se vždy doporučuje používat Perfect Forward Secrecy (PFS) ve fázi 2, což sice zpomaluje nastavení připojení Phase 2, ale zcela odděluje fázi 2 kryptograficky od fáze 1, protože se vyjednává samostatný klíč relace a neodvozuje se od klíče relace fáze 1.
Životnost obou fází je v zásadě nezávislá na sobě. Tunel Phase 2 může pokračovat v existenci, i když tunel Phase 1, přes který byl vyjednán, již neexistuje. Fáze 1 může tedy mít kratší životnost než fáze 2. VPN Tracker vždy včas vyjednává nové tunely před vypršením životnosti, takže k přerušení připojení obvykle nedochází. U fáze 2 tunely plynule navazují, tj. při výměně nedojde ke ztrátě jediného datového paketu, takže i při velmi krátké životnosti několika minut vzniká dojem nepřerušeného připojení. Časté změny tunelů Phase 2 vedou pouze k mírně většímu datovému provozu a mírně větší výpočetní práci na obou stranách připojení.
Důležité poznámky
Životnost tunelů se explicitně nevyjednává. Standard umožňuje, aby tunel měl na obou stranách připojení různou životnost. Strana, kde životnost vyprší jako první, určuje další postup. Pouze pokud je VPN Tracker tato strana, může VPN Tracker také určit další postup a aktivně jednat, jinak může VPN Tracker pouze pasivně reagovat. Poslední jmenované vždy vede k dočasnému přerušení nebo dokonce úplné ztrátě připojení ve fázi 1. U fáze 2 záleží na tom, zda druhá strana chce aktivně vyjednávat nové tunely Phase 2 nebo pouze smazat staré tunely; poslední jmenované také vede k dočasné ztrátě připojení.
Proto se vždy doporučuje nastavit VPN Tracker na stejnou životnost jako na druhé straně, protože VPN Tracker se vždy pokusí včas zasáhnout, aby se zabránilo ztrátě připojení.
Vzhledem k tomu, že existují také implementace IKE/IPSec, které smažou všechny tunely Phase 2, jakmile se smaže odpovídající tunel Phase 1, se také doporučuje zvolit fázi 1 na zařízeních tak dlouho, jak dlouho má VPN připojení maximálně trvat.
