Ofte stillede spørgsmål

Når en IKE-server modtager en forbindelsesanmodning, og der er konfigureret mere end én IKE VPN-tunnel på den server, opstår problemet med, at serveren skal beslutte, hvilken tunnel anmodningen er rettet mod, og den må ofte basere denne beslutning udelukkende på de oplysninger, der er tilgængelige i den meget hurtige pakke. At kende den korrekte tunnel er vigtig, da tunnelkonfigurationen definerer de kryptografiske parametre samt hvilken delt nøgle eller certifikater der skal bruges. Hvilke oplysninger der vil være tilgængelige i den første pakke afhænger af den valgte udvekslingsmetode. I Main Mode indeholder den første pakke en liste over krypteringsalgoritmer, hash-algoritmer, DH-grupper, den ønskede type autentificering (delt nøgle eller certifikater, men ikke selve nøglen eller certifikaterne, som begge valideres på et senere tidspunkt), samt oplysninger om, hvorvidt XAUTH skal udføres, eventuelt kan udføres eller slet ikke understøttes. Derudover kan den se IP-adressen på afsenderen fra netværkspakken samt den IP-adresse, som pakken blev sendt til (da en gateway muligvis har mere end én adresse). Nu skal den træffe en beslutning om en tunnel udelukkende baseret på disse oplysninger. Da Main Mode typisk bruges til statiske gateway-til-gateway-forbindelser og gateways typisk har enten en fast IP-adresse eller i det mindste et fast (muligvis "dynamisk") DNS-navn, baserer de fleste servere deres beslutning udelukkende på afsenderens IP-adresse. Hvis en VPN-gateway også tillader mobile brugere at oprette forbindelse ved hjælp af Main Mode, vil den enten kun tillade én sådan forbindelse (dette er en fallback-forbindelse, der altid bruges, når afsenderens IP-adresse ikke matcher nogen anden konfigureret Main Mode-tunnel) eller den tillader flere, i hvilket tilfælde den vil forsøge at gætte den rigtige udelukkende ud fra forbindelsesindstillingerne i den første pakke. Hvis disse indstillinger matcher mere end én tunnel, kan en af dem vinde, hvilket nemt kan føre til, at den forkerte tunnel målrettes. I Aggressive Mode er de samme oplysninger tilgængelige, men derudover sendes den lokale identifikator (type og værdi) i den første pakke. Da denne identifikator kan vælges frit, og det også er nemt at gøre den unik for hver tunnel, vil de fleste gateways udelukkende basere deres beslutning på denne identifikator i Aggressive Mode. Det er derfor meget lettere at betjene flere bruger-VPN-forbindelser ved hjælp af aggressiv tilstand. Alt hvad der kræves er at konfigurere en unik fjernidentifikator for hver af dem og derefter bruge denne fjernidentifikator som lokal identifikator på klienten (hvad der er fjernbetjent for gatewayen, er lokalt for klienten og omvendt).