Was ist IKEv2?

So funktioniert IKEv2

Wie jedes VPN-Protokoll ist IKEv2 für den Aufbau eines sicheren Tunnels zwischen dem VPN-Client und dem VPN-Server verantwortlich. Dies geschieht, indem zuerst sowohl der Client als auch der Server authentifiziert werden und dann vereinbart wird, welche Verschlüsselungsmethoden verwendet werden

Wir haben bereits erwähnt, dass IKEv2 das SA-Attribut behandelt, aber was ist SA? Einfach ausgedrückt handelt es sich um den Prozess der Einrichtung von Sicherheitsattributen zwischen zwei Netzwerkentitäten (in diesem Fall dem VPN-Client und dem VPN-Server). Dies geschieht, indem für beide Entitäten derselbe symmetrische Verschlüsselungsschlüssel generiert wird. Dieser Schlüssel wird dann zum Ver- und Entschlüsseln aller Daten verwendet, die durch den VPN-Tunnel übertragen werden.

Allgemeine technische Details zu IKEv2

• IKEv2 unterstützt die neuesten Verschlüsselungsalgorithmen von IPSec sowie mehrere andere Verschlüsselungscodes.
• Im Allgemeinen wird der IKE-Daemon (ein Programm, das als Hintergrundprozess ausgeführt wird) im Benutzerbereich (Systemspeicher für die Ausführung von Anwendungen) ausgeführt, während der IPSec-Stack im Kernelbereich (dem Kern des Betriebssystems) ausgeführt wird. Das hilft, die Leistung zu steigern.
• Das IKE-Protokoll verwendet UDP-Pakete und UDP-Port 500. Normalerweise sind vier bis sechs Pakete erforderlich, um die SA zu erstellen.
• IKE basiert auf den folgenden zugrunde liegenden Sicherheitsprotokollen:
  • ISAKMP (Internet Security Association and Key Management Protocol)
  • SKEME (Versatile Secure Key Exchange Mechanism)
  • OAKLEY (Oakley Key Determination Protocol)
• Das IKEv2 VPN-Protokoll unterstützt MOBIKE (IKEv2 Mobility and Multihoming Protocol), eine Funktion, die es dem Protokoll ermöglicht, Netzwerkänderungen zu widerstehen.
• IKEv2 unterstützt PFS (Perfect Forward Secrecy).
• Während IKEv2 von Microsoft zusammen mit Cisco entwickelt wurde, gibt es Open-Source-Implementierungen des Protokolls (wie OpenIKEv2, Openswan und strongSwan).
• IKE verwendet X.509-Zertifikate, wenn es den Authentifizierungsprozess abwickelt.

IKEv1 vs. IKEv2

Hier ist eine Liste der Hauptunterschiede zwischen IKEv2 und IKEv1:

• IKEv2 bietet dank seiner EAP-Authentifizierung standardmäßig Unterstützung für den Fernzugriff.
• IKEv2 ist so programmiert, dass es weniger Bandbreite verbraucht als IKEv1.
• Das IKEv2-VPN-Protokoll verwendet Verschlüsselungsschlüssel für beide Seiten und ist damit sicherer als IKEv1.
• IKEv2 hat MOBIKE unterstützung, was bedeutet es können widerstehen netzwerk änderungen.
• IKEv1 hat kein integriertes NAT-Traversal wie IKEv2.
• Im Gegensatz zu IKEv1 kann IKEv2 tatsächlich erkennen, ob ein VPN-Tunnel „lebendig“ ist oder nicht. Mit dieser Funktion kann IKEv2 eine unterbrochene Verbindung automatisch wiederherstellen.
• IKEv2-Verschlüsselung unterstützt mehr Algorithmen als IKEv1.
• IKEv2 bietet eine höhere Zuverlässigkeit durch verbesserte Sequenznummern und Quittungen.
• Das IKEv2-Protokoll ermittelt zunächst, ob der Anforderer tatsächlich vorhanden ist, bevor Aktionen ausgeführt werden. Aus diesem Grund ist es widerstandsfähiger gegen DoS-Angriffe.

Erwähnenswert ist auch, dass der zertifikatsbasierte Authentifizierungsprozess von IKEv2 sicherstellt, dass keine Maßnahmen ergriffen werden, bis die Identität des Anforderers ermittelt und bestätigt ist.

Es stimmt auch, dass Microsoft an IKEv2 gearbeitet hat, und das ist kein sehr vertrauenswürdiges Unternehmen. Sie arbeiteten jedoch nicht allein an dem Protokoll, sondern zusammen mit Cisco. Außerdem ist IKEv2 nicht vollständig Closed-Source, da Open-Source-Implementierungen des Protokolls existieren.

Dennoch sollten wir uns mit drei sicherheitsrelevanten Problemen in Bezug auf IKEv2 / IPSec befassen:

Kennwortprobleme

Im Jahr 2018 wurden einige Untersuchungen durchgeführt, die die potenziellen Sicherheitslücken von IKEv1 und IKEv2 aufzeigten. Die IKEv1-Probleme sollten Sie nicht wirklich betreffen, solange Sie das Protokoll nicht verwenden. Was das IKEv2-Problem betrifft, so scheint es, dass es relativ leicht gehackt werden kann, wenn das von ihm verwendete Anmeldekennwort schwach ist.

Dennoch ist das normalerweise kein großes Sicherheitsproblem, wenn Sie ein starkes Passwort verwenden. Dasselbe gilt, wenn Sie einen VPN-Dienst eines Drittanbieters verwenden, da dieser die IKEv2-Anmeldekennwörter und die Authentifizierung in Ihrem Namen verarbeitet. Solange Sie einen anständigen, sicheren Anbieter wählen, sollte es keine Probleme geben.

NSA-Nutzung von ISAKMP

Das deutsche Magazin Der Spiegel veröffentlichte durchgesickerte NSA-Präsentationen, in denen behauptet wurde, die NSA könne IKE und ISAKMP ausnutzen, um IPSec-Datenverkehr zu entschlüsseln. Falls Sie es nicht wussten, wird ISAKMP von IPSec verwendet, um VPN-Dienstverhandlungen zu implementieren.

Leider sind die Details etwas vage, und es gibt keine genaue Möglichkeit zu garantieren, dass die Präsentationen gültig sind. Falls Sie sich große Sorgen um dieses Problem machen, sollten Sie es vermeiden, die Verbindung selbst einzurichten, und stattdessen eine IKEv2-Verbindung von einem zuverlässigen VPN-Anbieter erhalten, der leistungsstarke Verschlüsselungscodes verwendet.

Man-in-the-Middle-Angriffe

Es scheint, dass IPSec-VPN-Konfigurationen, mit denen mehrere Konfigurationen ausgehandelt werden sollen, möglicherweise Downgrade-Angriffen (einer Art Man-in-the-Middle-Angriffen) ausgesetzt sein könnten. Dies kann auch passieren, wenn IKEv2 anstelle von IKEv1 verwendet wird.

Glücklicherweise kann das Problem vermieden werden, wenn strengere Konfigurationen verwendet werden und wenn die Client-Systeme sorgfältig auf mehrere Service Access Points getrennt sind. Was das auf Englisch bedeutet, ist, dass Sie sich darüber keine Sorgen machen müssen, wenn der VPN-Anbieter seine Arbeit richtig macht.

IKEv2 Vor- und Nachteile

Was ist IKEv2 VPN-Unterstützung?

IKEv2-VPN-Unterstützung liegt vor, wenn ein VPN-Anbieter eines Drittanbieters über seinen Dienst Zugriff auf IKEv2/IPSec-Verbindungen bietet. Glücklicherweise haben immer mehr VPN-Anbieter erkannt, wie wichtig dieses Protokoll für mobile Benutzer ist, sodass Sie jetzt eher Dienste finden, die IKEv2-Verbindungen anbieten als zuvor.

Dennoch empfehlen wir die Wahl eines VPN-Anbieters, der Zugriff auf mehrere VPN-Protokolle bietet. Während IKEv2 / IPSec ein großartiges Protokoll für Mobilgeräte ist, schadet es nicht, ein anständiges Backup (wie OpenVPN oder SoftEther) zu haben, wenn Sie andere Geräte zu Hause verwenden

IKEv2 vs. Andere VPN-Protokolle

Bevor wir beginnen, sollten wir erwähnen, dass wir uns bei der Diskussion von IKEv2 in diesem Abschnitt auf IKEv2 / IPSec beziehen, da dies das Protokoll ist, das VPN-Anbieter im Allgemeinen anbieten. Außerdem kann IKEv2 normalerweise nicht alleine verwendet werden, da es sich um ein Protokoll handelt, das in IPSec integriert ist (weshalb es damit gekoppelt ist). Lassen Sie uns damit beginnen:

IKEv2 vs. L2TP / IPSec

Sowohl L2TP als auch IKEv2 werden im Allgemeinen mit IPSec gekoppelt, wenn sie von VPN-Anbietern angeboten werden. Das bedeutet, dass sie in der Regel das gleiche Maß an Sicherheit bieten. Während L2TP / IPSec Closed-Source ist, gibt es Open-Source-Implementierungen von IKEv2. Das, und Snowden hat behauptet, dass die NSA L2TP / IPSec geschwächt hat, obwohl es keine wirklichen Beweise gibt, die diese Behauptung stützen.

IKEv2 / IPSec ist schneller als L2TP / IPSec, da L2TP / IPSec aufgrund der doppelten Kapselungsfunktion ressourcenintensiver ist und auch länger dauert, um einen VPN-Tunnel auszuhandeln. Und während beide Protokolle aufgrund der Kopplung mit IPSec so ziemlich dieselben Ports verwenden, ist L2TP / IPSec mit einer NAT–Firewall möglicherweise einfacher zu blockieren, da L2TP manchmal nicht gut mit NAT funktioniert – insbesondere wenn L2TP-Passthrough nicht aktiviert ist auf dem Router.

Während wir uns mit dem Thema Stabilität befassen, sollte erwähnt werden, dass IKEv2 weitaus stabiler ist als L2TP / IPSec, da es Netzwerkänderungen widerstehen kann. Grundsätzlich bedeutet dies, dass Sie von einer WLAN-Verbindung zu einer Datenplanverbindung wechseln können, ohne dass die IKEv2-Verbindung ausfällt. Ganz zu schweigen davon, dass selbst wenn eine IKEv2-Verbindung ausfällt, sie sofort wiederhergestellt wird.

Was die Barrierefreiheit betrifft, ist L2TP / IPSec auf mehr Plattformen nativ verfügbar als IKEv2/IPSec, aber IKEv2 ist auf BlackBerry-Geräten verfügbar.

Insgesamt scheint IKEv2 / IPSec die bessere Wahl für mobile Benutzer zu sein, während L2TP / IPSec für andere Geräte gut funktioniert.

Wenn Sie mehr über L2TP erfahren möchten, folgen Sie diesem Link.

IKEv2 vs. IPSec

IKEv2/IPSec ist in jeder Hinsicht viel besser als IPSec, da es neben den hohen Geschwindigkeiten und der Stabilität von IKEv2 die Sicherheitsvorteile von IPSec bietet. Außerdem können Sie IKEv2 nicht wirklich alleine mit IPSec vergleichen, da IKEv2 ein Protokoll ist, das innerhalb der IPSec-Protokollsuite verwendet wird. Außerdem basiert IKEv2 im Wesentlichen auf IPSec-Tunneling.

Wenn Sie mehr über IPSec erfahren möchten, lesen Sie unseren Artikel darüber.

IKEv2 vs. OpenVPN

OpenVPN ist bei Online-Benutzern aufgrund seiner verbesserten Sicherheit äußerst beliebt, aber Sie sollten wissen, dass IKEv2 ein ähnliches Schutzniveau bieten kann. Es ist wahr, dass IKEv2 Informationen auf IP-Ebene sichert, während OpenVPN dies auf Transportebene tut, aber es ist nicht wirklich etwas, das einen großen Unterschied machen sollte.

Wir können jedoch nicht leugnen, dass OpenVPN als Open Source eine attraktivere Option als IKEv2 darstellt. Natürlich wird das nicht mehr so ein großes Problem, wenn Sie Open-Source-Implementierungen von IKEv2 verwenden.

In Bezug auf die Online–Geschwindigkeiten ist IKEv2 normalerweise schneller als OpenVPN – auch wenn OpenVPN das UDP-Übertragungsprotokoll verwendet. Auf der anderen Seite ist es für einen Netzwerkadministrator viel schwieriger, OpenVPN-Verbindungen zu blockieren, da das Protokoll Port 443 verwendet, den HTTPS-Verkehrsport. IKEv2 verwendet leider nur den UDP-Port 500, den ein Netzwerkadministrator blockieren kann, ohne sich um das Stoppen anderen wichtigen Online-Datenverkehrs kümmern zu müssen.

Was die Verbindungsstabilität betrifft, schneiden beide Protokolle ziemlich gut ab, aber IKEv2 übertrifft OpenVPN auf mobilen Geräten, da es Netzwerkänderungen widerstehen kann. Es stimmt, dass OpenVPN so konfiguriert werden kann, dass es dasselbe mit dem Befehl „float“ tut, aber es ist nicht so effizient und stabil wie IKEv2.

In Bezug auf die plattformübergreifende Unterstützung liegt IKEv2 etwas hinter OpenVPN zurück, funktioniert jedoch auf BlackBerry-Geräten. Außerdem ist IKEv2 normalerweise etwas einfacher einzurichten, da es normalerweise nativ in die Plattformen integriert ist, auf denen es verfügbar ist.

Möchten Sie mehr über OpenVPN erfahren? Hier ist eine ausführliche Anleitung, die wir darüber geschrieben haben

IKEv2 vs. PPTP

IKEv2 ist im Allgemeinen eine viel bessere Wahl als PPTP, einfach weil es viel sicherer ist als es. Zum einen bietet es Unterstützung für 256-Bit-Verschlüsselungsschlüssel und High-End-Chiffren wie AES. Soweit wir wissen, muss der IKEv2-Verkehr von der NSA noch geknackt werden. Das Gleiche gilt nicht für den PPTP-Verkehr.

Außerdem ist PPTP viel weniger stabil als IKEv2. Es kann Netzwerkänderungen wie IKEv2 nicht mit Leichtigkeit widerstehen, und – noch schlimmer – es ist extrem einfach, mit einer Firewall zu blockieren – insbesondere einer NAT-Firewall, da PPTP auf NAT nicht nativ unterstützt wird. Wenn PPTP-Passthrough auf einem Router nicht aktiviert ist, kann nicht einmal eine PPTP-Verbindung hergestellt werden.

Normalerweise ist eines der wichtigsten Highlights von PPTP, das es von der Konkurrenz abhebt, seine sehr hohe Geschwindigkeit. Nun, das Lustige ist, dass IKEv2 tatsächlich in der Lage ist, ähnliche Geschwindigkeiten wie PPTP anzubieten.

Grundsätzlich ist PPTP nur in Bezug auf Verfügbarkeit und einfache Einrichtung besser als IKEv2. Sie sehen, PPTP ist nativ in Tonnen von Plattformen integriert, sodass das Konfigurieren einer Verbindung äußerst einfach ist. Dies könnte jedoch in Zukunft nicht mehr der Fall sein, da die native Unterstützung für PPTP von neueren Versionen einiger Betriebssysteme entfernt wurde. Beispielsweise ist PPTP unter iOS 10 und macOS Sierra nicht mehr nativ verfügbar.

Alles in allem sollten Sie IKEv2 nach Möglichkeit immer über PPTP wählen.

Wenn Sie mehr über PPTP erfahren und herausfinden möchten, warum es eine so riskante Option ist, folgen Sie diesem Link.

IKEv2 vs. WireGuard®

Ihre Daten sollten mit beiden Protokollen sicher sein. Wenn Sie jedoch einen moderneren Ansatz für die Kryptographie wünschen, sollten Sie sich an WireGuard halten. Und während IKEv2 einige Open-Source-Implementierungen hat, verwenden die meisten Anbieter sie nicht.

Wie L2TP / IPSec ist IKEv2 / IPSec einfacher zu blockieren, da weniger Ports verwendet werden: UDP 500, ESP IP Protocol 50, UDP 4500. Auf der positiven Seite bietet IKEv2 MOBIKE – eine Funktion, mit der das Protokoll Netzwerkänderungen widerstehen kann. Wenn Sie also auf dem Handy von WLAN zu mobilen Daten wechseln, sollte sich Ihr VPN nicht trennen.

Beide Protokolle sind sehr schnell. Wir haben manchmal höhere Geschwindigkeiten mit WireGuard, aber nicht viel.

Beide funktionieren auf den meisten Betriebssystemen. Der einzige Unterschied besteht darin, dass IKEv2 / IPSec auf BlackBerry-Geräten nativ verfügbar ist.

Egal, ob Sie Geschwindigkeit oder Sicherheit (oder beides) benötigen, jedes Protokoll ist eine ausgezeichnete Wahl. Vielleicht halten Sie sich an IKEv2 / IPSec, wenn Sie ein Smartphone verwenden, da die MOBIKE-Funktion wirklich nützlich ist.

Wenn Sie mehr über Wireguard erfahren möchten, finden Sie hier einen Link zu unserem Leitfaden.

IKEv2 vs. SoftEther

Sowohl IKEv2 als auch SoftEther sind ziemlich sichere Protokolle, und obwohl SoftEther vertrauenswürdiger sein könnte, weil es Open Source ist, können Sie auch Open-Source-Implementierungen von IKEv2 finden. Beide Protokolle sind auch sehr schnell, obwohl SoftEther möglicherweise etwas schneller ist als IKEv2.

Wenn es um Stabilität geht, sind die Dinge anders. Zum einen ist SoftEther mit einer Firewall viel schwieriger zu blockieren, da es auf Port 443 (dem HTTPS-Port) ausgeführt wird. Auf der anderen Seite ermöglicht die MOBIKE-Funktion von IKEv2, Netzwerkänderungen nahtlos zu widerstehen (z. B. wenn Sie von einer WLAN-Verbindung zu einer Datenverbindung wechseln).

Es könnte Sie auch interessieren zu wissen, dass der SoftEther VPN-Server zwar die Protokolle IPSec und L2TP / IPSec (unter anderem) unterstützt, das IKEv2 / IPSec-Protokoll jedoch nicht.

Am Ende ist SoftEther so ziemlich eine bessere Option als IKEv2, obwohl Sie IKEv2 vielleicht bevorzugen, wenn Sie ein mobiler Benutzer sind – zumal es auf BlackBerry-Geräten verfügbar ist.

Wenn Sie mehr über SoftEther erfahren möchten, besuchen Sie diesen Link.

IKEv2 vs. SSTP

IKEv2 und SSTP bieten ein ähnliches Sicherheitsniveau, aber SSTP ist viel Firewall-resistenter, da es TCP-Port 443 verwendet, einen Port, der normalerweise nicht blockiert werden kann. Auf der anderen Seite ist SSTP nicht auf so vielen Plattformen verfügbar wie IKEv2. SSTP ist nur in Windows-Systemen (Vista und höher) integriert und kann weiterhin auf Routern, Linux und Android konfiguriert werden. IKEv2 funktioniert auf all diesen Plattformen und mehr (macOS, iOS, FreeBSD und BlackBerry-Geräte).

Sowohl IKEv2 als auch SSTP wurden von Microsoft entwickelt, aber IKEv2 wurde von Microsoft zusammen mit Cisco entwickelt. Das macht es etwas vertrauenswürdiger als SSTP, das sich ausschließlich im Besitz von Microsoft befindet – einem Unternehmen, das der NSA in der Vergangenheit Zugriff auf verschlüsselte Nachrichten gewährt hat und das auch Teil des PRISM-Überwachungsprogramms ist.

In Bezug auf die Verbindungsgeschwindigkeiten sind beide Protokolle ziemlich verbunden, aber es ist sehr wahrscheinlich, dass IKEv2 schneller ist als SSTP. Warum? Weil die Geschwindigkeiten von SSTP oft mit den Geschwindigkeiten von OpenVPN verglichen werden, und wir haben bereits erwähnt, dass IKEv2 schneller ist als OpenVPN. Außerdem verwendet SSTP nur TCP, das langsamer ist als UDP (das von IKEv2 verwendete Übertragungsprotokoll).

Möchten Sie mehr über SSTP erfahren? Hier ist ein Artikel, den wir darüber geschrieben haben.

Was ist IKEv2? Zusammenfassend

IKEv2 ist sowohl ein VPN-Protokoll als auch ein Verschlüsselungsprotokoll, das in der IPSec-Suite verwendet wird.

Im Wesentlichen wird es verwendet, um eine gesicherte Kommunikation zwischen einem VPN-Client und einem VPN-Server herzustellen und zu authentifizieren.

IKEv2 ist sehr sicher zu verwenden, da es leistungsstarke Verschlüsselungscodes unterstützt und alle Sicherheitslücken in IKEv1 verbessert. Außerdem ist IKEv2 aufgrund seiner MOBIKE-Unterstützung, die es IKEv2-Verbindungen ermöglicht, Netzwerkänderungen zu widerstehen, eine ausgezeichnete Wahl für mobile Benutzer.

Dennoch empfehlen wir die Wahl eines VPN-Anbieters, der neben IKEv2 Zugriff auf mehrere Protokolle bietet. Während es eine großartige Option für mobile Benutzer ist, schadet es nicht, noch bessere Protokolle (wie OpenVPN und SoftEther) als Alternative für andere Geräte zu haben.