Soalan lazim

Apabila pelayan IKE menerima permintaan sambungan, dan lebih daripada satu terowong VPN IKE dikonfigurasikan pada pelayan itu, timbullah masalah bahawa pelayan perlu memutuskan terowong mana yang disasarkan oleh permintaan ini, dan sering kali ia mesti berasaskan keputusan itu hanya pada maklumat yang tersedia dalam paket yang sangat pantas. Mengetahui terowong yang betul adalah penting kerana konfigurasi terowong menentukan parameter kriptografi serta kunci pra-kongsi atau sijil yang akan digunakan. Maklumat yang akan tersedia dalam paket pertama bergantung pada mod pertukaran yang dipilih. Dalam Main Mode paket pertama mengandungi senarai algoritma penyulitan, algoritma hash, kumpulan DH, jenis pengesahan yang diinginkan (kunci pra-kongsi atau sijil, tetapi bukan kunci itu sendiri atau sebarang sijil, kedua-duanya disahkan pada masa hadapan), serta maklumat sama ada XAUTH mesti dilakukan, boleh dilakukan secara pilihan atau tidak boleh dilakukan. Selain itu, ia boleh melihat alamat IP penghantar dari paket rangkaian serta alamat IP yang dihantar paket ini kepadanya (kerana gateway mungkin mempunyai lebih daripada satu alamat). Ia kini perlu memutuskan terowong hanya berdasarkan maklumat ini. Memandangkan Main Mode biasanya digunakan untuk sambungan gateway-ke-gateway statik, dan gateway biasanya mempunyai alamat IP tetap atau sekurang-kurangnya nama DNS tetap (mungkin "dinamik"), kebanyakan pelayan mengasaskan keputusannya hanya pada alamat IP penghantar. Jika gateway VPN juga membenarkan pengguna mudah alih untuk menyambung menggunakan Main Mode, ia akan sama ada membenarkan hanya satu sambungan sedemikian (ini ialah sambungan fallback, yang akan sentiasa digunakan apabila alamat IP penghantar tidak padan dengan mana-mana terowong Main Mode yang dikonfigurasikan yang lain) atau ia membenarkan lebih daripada satu dalam kes itu ia akan cuba meneka yang betul hanya berdasarkan tetapan sambungan yang ditawarkan dalam paket pertama. Jika tetapan ini padan dengan lebih daripada satu terowong, mana-mana daripadanya boleh menang, yang boleh dengan mudah menyebabkan terowong yang salah disasarkan. Dalam Aggressive Mode maklumat yang sama tersedia tetapi sebagai tambahan pengenalan setempat (jenis dan nilai) dihantar dalam paket pertama. Memandangkan pengenalan ini boleh dipilih secara bebas dan juga mudah untuk menjadikannya unik untuk setiap terowong, kebanyakan gateway akan berasaskan keputusannya semata-mata pada pengenalan ini dalam Mod Aggressive. Jadi adalah lebih mudah untuk mengendalikan berbilang sambungan VPN pengguna menggunakan mod agresif. Semua yang diperlukan ialah mengkonfigurasi pengenalan jauh yang unik untuk setiap satu daripadanya dan kemudian menggunakan pengenalan jauh ini sebagai pengenalan setempat pada klien (apa yang jauh untuk gateway adalah setempat untuk klien dan sebaliknya).