Domande frequenti
Cosa devo considerare per le impostazioni "Durata" dei tunnel IKE/IPSec?
Il motivo principale per cui la durata dei tunnel IPSec è limitata è la sicurezza. Più a lungo un tunnel rimane attivo, più tempo un attaccante ha per lanciare un attacco e più dati vengono crittografati con la stessa chiave di sessione, riducendo lo sforzo necessario agli aggressori per trovare la chiave.
Il tunnel IKE Fase 1 viene utilizzato esclusivamente per garantire una connessione sicura tra il client VPN e il gateway VPN, paragonabile a una connessione TLS (ovvero HTTPS invece di HTTP). Solo i messaggi IKE vengono scambiati tramite il tunnel di Fase 1, utilizzati per mantenere attiva la connessione di Fase 1 e per negoziare i tunnel di Fase 2, se necessario. Il tunnel di Fase 1 non influisce sulla velocità della VPN, ma solo sulla configurazione iniziale della connessione, quindi non c'è mai motivo di non lavorare sempre con la protezione più forte nella Fase 1 che entrambe le parti possano supportare. Poiché pochissimi dati vengono mai inviati tramite il tunnel di Fase 1, non c'è motivo di non scegliere una durata molto lunga per esso.
I tunnel di Fase 2 vengono utilizzati per crittografare il traffico dati effettivo, quindi le impostazioni qui influiscono direttamente sull'overhead, la latenza e la velocità della connessione VPN e devono essere bilanciate con la sicurezza. Inoltre, grandi quantità di dati vengono crittografate tramite i tunnel di Fase 2, quindi non si dovrebbe impostare la loro durata troppo alta. Se possibile, si consiglia sempre di utilizzare Perfect Forward Secrecy (PFS) nella Fase 2, che rallenta leggermente la configurazione della connessione di Fase 2, ma disaccoppia completamente la Fase 2 crittograficamente dalla Fase 1, poiché viene negoziata una chiave di sessione indipendente e non derivata dalla chiave di sessione della Fase 1.
La durata delle due fasi è fondamentalmente indipendente l'una dall'altra. Un tunnel di Fase 2 può continuare a esistere anche se il tunnel di Fase 1 su cui è stato negoziato non esiste più. Pertanto, la Fase 1 può avere una durata più breve della Fase 2. VPN Tracker negozia sempre nuovi tunnel in tempo prima della scadenza della durata, in modo che normalmente non si verifichi alcuna interruzione della connessione. Nella Fase 2, i tunnel si connettono senza problemi l'uno all'altro, il che significa che nessun pacchetto di dati viene perso durante un cambio, quindi anche con una durata molto breve di pochi minuti, si crea l'impressione di una connessione ininterrotta. Cambi frequenti dei tunnel di Fase 2 portano solo a un po' più di traffico dati e un po' più di lavoro di calcolo su entrambi i lati della connessione.