¿Qué versión de IKE debo seleccionar al crear una conexión de VPN?

Este defecto es inherente a IKEv1 y se aborda en IKEv2.

• IKEv1 es complejo y consume una gran cantidad de ancho de banda. La negociación IKEv1 SA consta de dos fases. En IKEv1 fase 1, se establece un IKE SA en modo principal o modo agresivo. El modo principal requiere tres intercambios entre pares que suman seis mensajes ISAKMP, mientras que el modo agresivo requiere dos intercambios que suman tres mensajes ISAKMP. El modo agresivo es más rápido, pero no proporciona protección de identidad para los pares, ya que el intercambio de claves y la autenticación de identidad se realizan simultáneamente. En IKEv1 fase 2, las SA IPsec se establecen con tres mensajes ISAKMP en modo rápido.
• En comparación con IKEv1, IKEv2 simplifica el proceso de negociación de SA. IKEv2 requiere solamente dos intercambios, totalizando cuatro mensajes, para establecer una SA IKE y un par de SA IPsec. Para crear varios pares de SA IPsec, solo se necesita un intercambio adicional para cada par adicional de SA.
  NOTA:

  Para la negociación IKEv1, su modo principal implica nueve (6+3) mensajes, y su modo agresivo implica seis (3+3) mensajes. Por el contrario, la negociación IKEv2 requiere solamente cuatro (2+2) mensajes.

• Solo IKEv1 (que requiere una tarjeta de encriptación) admite la autenticación de envolvente digital (HSS-DE).
• IKEv2 admite la autenticación del Extensible Authentication Protocol (EAP). IKEv2 puede utilizar un servidor AAA para autenticar remotamente a los usuarios móviles y de PC y asignar direcciones IP privadas a estos usuarios. IKEv1 no proporciona esta función y debe usar L2TP para asignar direcciones IP privadas.
• Solo IKEv2 admite algoritmos de integridad de IKE SA.

• Solo IKEv1 admite el parámetro retry-interval. Si un dispositivo envía un paquete DPD pero no recibe respuesta dentro del intervalo de reintento especificado, el dispositivo registra un evento de fallo de DPD. Cuando el número de eventos de error de DPD llega a 5, se eliminan tanto las SA IKE como las SA IPsec. La negociación IKE SA se iniciará de nuevo solo cuando haya tráfico que se transmita a través del túnel IPsec.
• En IKEv2, el intervalo de retransmisión aumenta de 1, 2, 4, 8, 16, 32 a 64, en segundos. Si no se recibe respuesta dentro de ocho transmisiones consecutivas, el extremo par se considera muerto, y se eliminan las SA IKE y las SA IPsec.

En IKEv2, la vida útil suave de IKE SA es 9/10 de la vida útil dura de IKE SA más o menos un número aleatorio. Esto reduce la probabilidad de que dos extremos inicien la renegociación simultáneamente. Por lo tanto, no se establece manualmente la vida útil de software en IKEv2.