¿Qué versión de IKE debo seleccionar al crear una conexión de VPN?

IKEv2 puede defenderse de ataques DoS.

• La negociación IKEv1 SA consta de dos fases. IKEv1 es complejo y ocupa una gran cantidad de ancho de banda. La negociación IKEv1 fase 1 tiene como objetivo establecer la IKE SA. Este proceso soporta el modo principal y el modo agresivo. El modo principal utiliza seis mensajes ISAKMP para establecer el IKE SA, pero el modo agresivo utiliza solo tres. Por lo tanto, el modo agresivo es más rápido en el establecimiento de IKE SA. Sin embargo, el modo agresivo no proporciona protección de identidad de pares porque el intercambio de claves y la autenticación de identidad se realizan al mismo tiempo. La negociación de la fase 2 de IKEv1 tiene como objetivo establecer la SA IPsec para la transmisión de datos. Este proceso utiliza el modo de intercambio rápido (3 mensajes de ISAKMP) para completar la negociación.
• En comparación con IKEv1, IKEv2 simplifica el proceso de negociación de SA. IKEv2 utiliza dos intercambios (un total de 4 mensajes) para crear una SA IKE y un par de SA IPsec. Para crear varios pares de SA IPsec, solo se necesita un intercambio adicional para cada par adicional de SA.
  

  Para la negociación IKEv1, su modo principal requiere nueve (6+3) paquetes en total y su modo agresivo requiere 6 (3+3) paquetes. La negociación IKEv2 requiere solo 4 (2+2) paquetes.

• Solo IKEv1 (que requiere una tarjeta de encriptación) admite la autenticación de envolvente digital (HSS-DE).
• IKEv2 admite la autenticación del Extensible Authentication Protocol (EAP). IKEv2 puede utilizar un servidor AAA para autenticar remotamente a los usuarios móviles y de PC y asignar direcciones IP privadas a estos usuarios. IKEv1 no proporciona esta función y debe usar L2TP para asignar direcciones IP privadas.
• Solo IKEv2 admite algoritmos de integridad de IKE SA.

• Solo IKEv1 admite el parámetro retry-interval. Si un dispositivo envía un paquete DPD pero no recibe respuesta dentro del intervalo de reintento especificado, el dispositivo registra un evento de fallo DPD. Cuando el número de eventos de error alcanza cinco, se eliminan tanto el SA IKE como el SA IPsec. La negociación IKE SA se iniciará de nuevo cuando el dispositivo tenga tráfico IPsec para manejar.
• En el modo IKEv2, el intervalo de retransmisión aumenta de 1, 2, 4, 8, 16, 32 a 64 segundos. Si no se recibe ninguna respuesta dentro de ocho transmisiones consecutivas, el extremo par se considera muerto, y el SA IKE y el SA IPsec se eliminarán.

En IKEv2, la vida útil suave de IKE SA es 9/10 de la vida útil dura de IKE SA más o menos un valor aleatorio para reducir la probabilidad de que dos extremos inicien la renegociación al mismo tiempo. Por lo tanto, la vida útil suave no requiere ajustes manuales en IKEv2.