Qué es IKEv2 de verdad
"IKEv2" es la abreviatura de Internet Key Exchange versión 2, un protocolo de negociación de claves definido en el RFC 7296. Normalmente se empareja con IPsec (Internet Protocol Security) para el cifrado real — así que el nombre completo se escribe a menudo como "IKEv2/IPsec".
- IKEv2: maneja el handshake y negocia las claves de sesión.
- IPsec: cifra y autentica los paquetes de datos.
La mayoría de proveedores VPN y usuarios se refieren al stack combinado como solo "IKEv2". Lo desarrollaron conjuntamente Microsoft y Cisco a mediados de los 2000, con el objetivo de ser más amigable con el móvil que su predecesor IKEv1.
La extensión MOBIKE
La feature estrella para uso móvil es una extensión llamada MOBIKE (Mobility and Multihoming Protocol). Permite que el túnel sobreviva cuando la dirección IP de tu dispositivo cambia — por ejemplo, cuando cambias de WiFi a celular, o haces roaming entre redes WiFi.
Sin MOBIKE, el túnel tendría que derribarse y reconstruirse en cada cambio de red. Con él, el túnel existente actualiza sus direcciones de endpoint en sitio. Los usuarios experimentan esto como que el VPN "simplemente funciona" a través de transiciones de red, incluso cuando su IP cambia a mitad de sesión.
WireGuard maneja el roaming distinto pero logra el mismo efecto — los peers pueden cambiar endpoints sin reconstruir túneles. OpenVPN no maneja esto bien, por lo que las conexiones OpenVPN tienden a caerse en los cambios de red.
Cómo funciona IKEv2 (brevemente)
El handshake de IKEv2 pasa en dos fases:
- IKE_SA_INIT: cliente y servidor intercambian parámetros iniciales y realizan el acuerdo de claves Diffie-Hellman.
- IKE_AUTH: cliente y servidor se autentican mutuamente (típicamente con certificados, a veces con usuario/contraseña vía EAP), y se establece la primera child SA de IPsec.
Una vez completado el handshake (típicamente 2 round trips), los paquetes fluyen por el túnel IPsec. El protocolo soporta re-keying (cambiar periódicamente las claves de sesión por forward secrecy) y actualizaciones de túnel (MOBIKE) sin requerir un nuevo handshake completo.
Soporte nativo en iOS
Apple ha incluido IKEv2 en iOS desde la versión 9 (2015). Puedes configurar un perfil VPN IKEv2 en Ajustes de iOS → VPN → Añadir configuración VPN → IKEv2, sin instalar una app de terceros.
Esta es una razón por la que IKEv2 sigue siendo común para usuarios de iOS: puedes usarlo sin darle a una app de terceros acceso VPN completo a tu dispositivo.
Para los proveedores VPN, los perfiles de configuración (archivos
.mobileconfig) hacen fácil entregar un setup de iOS
llave en mano. La mayoría de proveedores con reputación lo ofrecen
para usuarios que prefieren usar el stack integrado de Apple.
Rendimiento
IKEv2 generalmente rinde bien — mejor que OpenVPN, comparable-pero-ligeramente-más-lento que WireGuard:
| Métrica | IKEv2 | WireGuard | OpenVPN |
|---|---|---|---|
| Throughput | ~600-800 Mbps | ~900+ Mbps | ~250-400 Mbps |
| Handshake | ~2 RTT | ~1 RTT | ~6 RTT |
| Reconexión móvil | Excelente (MOBIKE) | Excelente | Pobre |
| Batería (móvil) | Moderado | Bajo | Moderado |
Consideraciones de seguridad
El protocolo en sí es sólido, pero implementaciones y configuraciones específicas tienen debilidades que vale conocer:
- Los parámetros de Diffie-Hellman importan. Los setups de IPsec más viejos usaban grupos DH de 1024 bits que ahora se consideran débiles (las filtraciones de la era Snowden sugerían que la NSA podía romperlos). Las configuraciones modernas usan 2048 bits o más, o variantes de curva elíptica como ECP-256.
- Las claves precompartidas son peligrosas. Algunos despliegues de IKEv2 usan una contraseña compartida como factor de autenticación. Si la PSK se filtra, todos los usuarios que la usan quedan comprometidos. La autenticación basada en certificados es mucho más segura.
- Complejidad de implementación. IPsec es una familia de protocolos complicada (RFCs que abarcan cientos de páginas) y las implementaciones varían en calidad. La familia de protocolos ha tenido unos pocos CVEs notables a lo largo de los años.
El IKEv2/IPsec moderno, bien configurado con cifrados fuertes y autenticación por certificado, es seguro. Ha sido extensamente analizado y se usa en despliegues empresariales y gubernamentales de todo el mundo.
Dónde brilla IKEv2
- iOS sin apps de terceros. Integrado en el SO, sin instalación.
- Móvil con cambios de red frecuentes. MOBIKE maneja las transiciones WiFi-a-celular limpiamente.
- Compatibilidad empresarial. Los VPN corporativos suelen usar IPsec por razones legacy y de cumplimiento de estándares.
- Redes restrictivas. IKEv2 típicamente usa los puertos UDP 500 y 4500; menos probable de bloquear que los puertos flexibles de WireGuard, más probable que OpenVPN-sobre-443.
Dónde se queda corto IKEv2
- Velocidad. WireGuard es consistentemente más rápido.
- Complejidad. Las implementaciones de IPsec son grandes e intrincadas — más superficie de ataque, más difíciles de auditar.
- Bloqueos de red. Algunas redes bloquean específicamente los puertos de IKEv2/IPsec.