Häufig gestellte Fragen

Der Hauptgrund, warum die Lebensdauer von IPSec-Tunneln begrenzt wird, ist Sicherheit. Je länger ein Tunnel aktiv bleibt, desto mehr Zeit hat ein Angreifer für einen Angriff und desto mehr Daten werden mit demselben Session Key verschlüsselt, was den Aufwand für Angreifer zur Schlüsselfindung reduziert. Der IKE Phase 1-Tunnel dient ausschließlich dazu, eine sichere Verbindung zwischen VPN-Client und VPN-Gateway zu gewährleisten, vergleichbar mit einer TLS-Verbindung (also HTTPS statt HTTP). Über den Phase 1-Tunnel werden nur IKE-Nachrichten ausgetauscht, die dazu dienen, die Phase 1-Verbindung selbst aufrechtzuerhalten und bei Bedarf Phase 2-Tunnel auszuhandeln. Der Phase 1-Tunnel hat keinen Einfluss auf die VPN-Geschwindigkeit, sondern nur auf den anfänglichen Verbindungsaufbau. Daher gibt es nie einen Grund, in Phase 1 nicht immer mit der stärksten Absicherung zu arbeiten, die beide Seiten unterstützen. Da nur sehr wenige Daten jemals über den Phase 1-Tunnel gesendet werden, spricht nichts dagegen, eine sehr hohe Lebensdauer dafür zu wählen. Die Phase 2-Tunnel werden verwendet, um den eigentlichen Datenverkehr zu verschlüsseln. Daher haben hier die Einstellungen direkten Einfluss auf Overhead, Latenz und Geschwindigkeit der VPN-Verbindung und müssen gegen die Sicherheit abgewogen werden. Auch werden große Datenmengen über die Phase 2-Tunnel verschlüsselt, weshalb man deren Lebensdauer nicht zu hoch einstellen sollte. Falls möglich, ist es immer empfehlenswert, Perfect Forward Secrecy (PFS) in Phase 2 zu verwenden, was zwar den Phase 2-Verbindungsaufbau etwas verlangsamt, dafür aber die Phase 2 kryptografisch komplett von der Phase 1 entkoppelt, da ein eigenständiger Session Key ausgehandelt und nicht vom Session Key der Phase 1 abgeleitet wird. Die Lebensdauern der beiden Phasen sind grundsätzlich unabhängig voneinander. Ein Phase 2-Tunnel darf weiterbestehen, auch wenn der Phase 1-Tunnel, über den er ausgehandelt wurde, nicht länger existiert. Somit darf Phase 1 auch eine kürzere Lebenszeit als Phase 2 besitzen. VPN Tracker handelt immer rechtzeitig vor Ablauf der Lebensdauer neue Tunnel aus, sodass es im Normalfall nie zu einer Unterbrechung der Verbindung kommt. Bei Phase 2 greifen die Tunnel dabei nahtlos ineinander, d.h., es geht kein einziges Datenpaket bei einem Wechsel verloren. Deswegen entsteht auch bei einer sehr kurzen Lebensdauer von wenigen Minuten der Eindruck einer unterbrechungsfreien Verbindung. Häufige Wechsel der Phase 2-Tunnel führt lediglich zu etwas mehr Datenverkehr und etwas mehr Rechenarbeit auf beiden Seiten der Verbindung.

Wichtige Hinweise

Die Lebensdauer der Tunnel wird explizit nicht ausgehandelt. Der Standard erlaubt, dass ein Tunnel unterschiedliche Lebenszeiten auf beiden Seiten der Verbindung besitzt. Die Seite, bei der die Lebenszeit dann zuerst abläuft, bestimmt damit auch das weitere Vorgehen. Nur wenn VPN Tracker diese Seite ist, kann VPN Tracker auch das weitere Vorgehen bestimmen und aktiv agieren; andernfalls kann VPN Tracker nur passiv reagieren. Letzteres hat bei Phase 1 immer zur Folge, dass die Verbindung kurzfristig unterbrochen wird oder sogar ganz abreißt. Bei Phase 2 hängt es davon ab, ob die Gegenseite aktiv neue Phase 2-Tunnel aushandeln will oder nur die alten Tunnel löscht; letzteres führt auch mindestens kurzfristig zu einem Verbindungsabbruch. Daher ist es grundsätzlich ratsam in VPN Tracker immer genau die gleichen Lebensdauern wie auf der Gegenseite einzustellen, denn dann wird VPN Tracker immer versuchen, rechtzeitig einzugreifen, um einen Verbindungsabbruch zu vermeiden. Da es leider auch IKE/IPSec-Implementierungen gibt, die alle Phase 2-Tunnel löschen, sobald der dazugehörige Phase 1-Tunnel gelöscht wurde, ist darüber hinaus grundsätzlich ratsam, die Phase 1 auf Geräten immer so lange zu wählen, wie eine VPN-Verbindung maximal am Stück bestehen bleiben soll.