Soalan lazim

Der Hauptgrund, warum die Lebensdauer von IPSec Tunnel beschränkt wird, ist Sicherheit. Je länger ein Tunnel am Leben bleibt, desto mehr Zeit hat ein Angreifer für einen Angriff und desto mehr Daten werden mit dem gleichen Session Schlüssel verschlüsselt, was den Aufwand den Schlüssel zu ermitteln für Angreifer zunehmend reduziert. Der IKE Phase 1 Tunnel dient ausschließlich dazu eine sichere Verbindung zwischen VPN Client und VPN Gateway zu gewährleisten, vergleichbar mit einer TLS Verbindung (also HTTPS statt HTTP). Über den Phase 1 Tunnel werden nur IKE Nachrichten ausgetauscht, die dazu dienen die Phase 1 Verbindung selber am Leben zu halten und bei Bedarf Phase 2 Tunnel auszuhandeln. Der Phase 1 Tunnel hat keinen Einfluss auf die VPN Geschwindigkeit, nur auf den initialen Verbindungsaufbau, daher spricht nie etwas dagegen in Phase 1 immer mit der stärksten Absicherung zu arbeiten, die beide Seiten unterstützen. Da nur sehr wenige Daten jemals über den Phase 1 Tunnel gesendet werden, spricht nichts dagegen eine sehr hohe Lebensdauer dafür zu wählen. Die Phase 2 Tunnel werden genutzt um den eigentlichen Datenverkehr zu verschlüsseln, daher haben hier die Einstellungen direkten Einfluss auf Overhead, Latenz und Geschwindigkeit der VPN Verbindung und müssen gegen die Sicherheit abgewogen werden. Auch werden große Datenmengen über die Phase 2 Tunnel verschlüsselt, weswegen man deren Lebensdauer nicht zu hoch einstellen sollte. Falls möglich ist es immer empfehlenswert Perfect Forward Secrecy (PFS) in Phase 2 zu verwenden, was zwar den Phase 2 Verbindungsaufbau etwas verlangsamt, dafür aber die Phase 2 kryptographisch komplett von der Phase 1 entkoppelt, da ein eigenständiger Session Schlüssel ausgehandelt und nicht vom Session Schlüssel der Phase 1 abgeleitet wird. Die Lebensdauern der beiden Phasen sind grundsätzlich unabhängig voneinander. Ein Phase 2 Tunnel darf weiter bestehen, auch wenn der Phase 1 Tunnel über den er ausgehandelt wurde nicht länger existiert. Somit darf Phase 1 auch eine kürzere Lebenszeit als Phase 2 besitzen. VPN Tracker handelt immer rechtzeitig vor Ablauf der Lebensdauer neue Tunnel aus, so dass es im Normalfall nie zu einer Unterbrechung der Verbindung kommt. Bei Phase 2 greifen die Tunnel dabei nahtlos ineinander, d.h. es geht kein einziges Datenpaket bei einem Wechsel verloren, deswegen entsteht auch bei einer sehr kurzen Lebensdauer von wenigen Minuten der Eindruck einer unterbrechungsfreien Verbindung. Häufige Wechsel der Phase 2 Tunnel führt lediglich zu etwas mehr Datenverkehr und etwas mehr Rechenarbeit auf beiden Seiten der Verbindung.

Wichtige Hinweise

Die Lebensdauer der der Tunnel wird explizit nicht ausgehandelt. Der Standard erlaubt, dass ein Tunnel unterschiedliche Lebenszeiten auf beiden Seiten der Verbindung besitzt. Die Seite, wo die Lebenszeit dann zuerst abläuft, bestimmt damit auch das weitere Vorgehen. Nur wenn VPN Tracker diese Seite ist, kann VPN Tracker auch das weiter Vorgehen bestimmen und aktiv agieren, ansonsten kann VPN Tracker nur passiv reagieren. Letzteres hat bei Phase 1 immer zur Folge, dass die Verbindung kurzfristig unterbrochen wird oder sogar ganz abreißt. Bei Phase 2 hängt es davon ab, ob die Gegenseite aktiv neue Phase 2 Tunnel aushandeln will oder nur die alten Tunnel löscht; letzteres führt auch mindestens kurzfristig zu einem Verbindungsabbruch. Daher ist es grundsätzlich ratsam in VPN Tracker immer genau die gleichen Lebensdauern wie auf der Gegenseite einzustellen, denn dann wird VPN Tracker immer versuchen rechtzeitig in das Geschehen eingreifen um einen Verbindungsabbruch zu vermeiden. Da es leider auch IKE/IPSec Implementierungen gibt, die alle Phase 2 Tunnel löschen, sobald der dazugehörige Phase 1 Tunnel gelöscht wurde, ist darüber hinaus grundsätzlich ratsam die Phase 1 auf Geräten immer so lange zu wählen, wie eine VPN Verbindung maximal am Stück bestehen bleiben soll.