IKE / IKEv2
Internet Key Exchange, het protocol voor sleutelbeheer in IPsec, dat Security Associations (SA's) tussen peers opzet; IKEv2 (RFC 7296, 2014) verving IKEv1 met een eenvoudiger toestandsmodel, mobiele ondersteuning (MOBIKE) en ingebouwde NAT-traversal.
IKEv1 kent twee fasen: fase 1 (IKE SA, peers authenticeren) en fase 2 (IPsec-SA's voor het eigenlijke dataverkeer). IKEv2 vouwt dit samen tot één uitwisseling. Authenticatie verloopt via pre-shared key, X.509-certificaten of EAP. Het is tegenwoordig standaard op VPN-gateways voor bedrijven (strongSwan op Linux, Cisco ASA, FortiGate), en iOS en macOS ondersteunen IKEv2 native. WireGuard is het moderne alternatief: eenvoudiger, zonder IKE en sneller. De configuratiecomplexiteit is van oudsher afschrikwekkend; strongSwan-configuraties lopen op tot honderden regels.