IKEv2 và IPsec: hai lớp
IKEv2 làm gì?
- xác thực bằng X.509, khóa chung hoặc EAP;
- thương lượng thuật toán;
- trao đổi Diffie-Hellman và sinh khóa;
- tạo, gia hạn Security Association.
IPsec làm gì?
- mã hóa bằng ESP;
- kiểm tra toàn vẹn và chống phát lại;
- vận chuyển gói trong tunnel;
- áp dụng khóa, chính sách đã thương lượng.
Vì thế chỉ thấy “IKEv2” chưa đủ; thuật toán, xác thực và chính sách IPsec mới quyết định bảo mật.
Bốn bước thiết lập
1. IKE_SA_INIT
Hai bên trao đề xuất, chọn Diffie-Hellman, tạo bí mật chung và có thể dùng cookie chống DDoS; danh tính chưa được xác minh.
2. IKE_AUTH
Hai bên xác thực, tạo Child SA đầu tiên; IPsec bắt đầu vận chuyển.
3. CREATE_CHILD_SA
Gia hạn khóa không phá toàn bộ tunnel và tạo SA khác cho luồng riêng.
4. DPD và MOBIKE
DPD phát hiện peer không trả lời; MOBIKE cập nhật địa chỉ sau khi đổi giao diện. IKEv2 cần ít thông điệp hơn IKEv1.
MOBIKE: lợi thế di động
Khi thiết bị đổi Wi-Fi sang 4G/5G, anten hoặc thức dậy, địa chỉ cũ mất hiệu lực. MOBIKE báo giao diện mới và cập nhật SA; nếu hai đầu hỗ trợ và IPsec không bị chặn, gián đoạn có thể dưới một giây. Nó hợp iPhone, iPad, Android, laptop và truy cập doanh nghiệp bằng chứng chỉ/MFA, nhưng dịch vụ phải bật đúng.
Điểm mạnh và giới hạn bảo mật
Điểm mạnh
Cấu hình hiện đại có PFS qua Diffie-Hellman mới, chứng chỉ riêng và AEAD. AES-128/256-GCM cùng Curve25519 là lựa chọn mạnh. EAP-TLS tích hợp RADIUS hoặc thư mục mà không cần mật khẩu chung. Nhiều sự cố đến từ triển khai, không phải thiết kế IKEv2.
Giới hạn
UDP 500, 4500 và ESP dễ nhận diện, chặn. IKEv2 trên TCP/TLS không phải cách dùng chuẩn và ít phổ biến. IPsec có nhiều triển khai, khó rà soát đồng nhất; máy chủ bị xâm nhập vẫn là điểm tin cậy. Tránh PSK yếu và EAP-MSCHAPv2; doanh nghiệp nên dùng chứng chỉ/EAP-TLS.
Hiệu năng, tương thích và hạn chế
Bắt tay ngắn và xử lý gần kernel cho thông lượng cao, trễ thấp, nhất là có tăng tốc AES. WireGuard thường nhanh hơn về thuần tốc độ nhưng IKEv2 đáp ứng tốt web, video, gọi thoại.
| Hệ thống | Tương thích |
|---|---|
| iOS/iPadOS | Gốc, ổn định |
| macOS | Gốc |
| Windows | Gốc |
| Android | Hiện đại, khác nhau trên máy cũ |
| Linux | Thường qua strongSwan |
Tunnel có thể lỗi nếu UDP 500/4500, ESP hoặc captive portal gây cản trở; OpenVPN TCP 443 thường vượt tốt hơn.
Khi nào dùng hoặc tránh?
Nên dùng: thiết bị đổi Wi-Fi/dữ liệu thường xuyên, Apple/Windows, mạng không kiểm duyệt chủ động, doanh nghiệp có chứng chỉ, EAP-TLS, RADIUS, MDM. Nên tránh: mạng chặn IPsec, Linux cần cấu hình cực đơn giản, bắt buộc ngụy trang hoặc dự án muốn mã nguồn tối thiểu.
IKEv2, WireGuard và OpenVPN
| Tiêu chí | IKEv2 | WireGuard | OpenVPN |
|---|---|---|---|
| Di chuyển | Rất tốt với MOBIKE | Rất tốt | Trung bình |
| Hiệu năng | Cao | Rất cao | Trung bình |
| Mạng hạn chế | Yếu | Cần ngụy trang ngoài | Tốt hơn với TCP 443 |
| Dễ kiểm toán | Phức tạp do IPsec | Rất cao | Trung bình |
| Tích hợp gốc | Rất rộng | Tùy hệ thống | Cần client |
IKEv2 năm 2026
IKEv2 trưởng thành, nhanh và xuất sắc khi di chuyển. Tích hợp Apple, Microsoft, doanh nghiệp vẫn là lợi thế. Nó không phổ quát: mẫu lưu lượng rõ, stack phức tạp, Linux cần thêm công sức. Dịch vụ đầy đủ có thể dùng WireGuard cho tốc độ, IKEv2 cho di động và OpenVPN TCP cho mạng chặn.
Giao thức khác
- WireGuard: tối giản, nhanh.
- OpenVPN: linh hoạt.
- IPsec: lớp bảo vệ.
- L2TP: đóng gói cũ.
- IKEv2 với OpenVPN.