Протоколы
Обновлено · Команда SomonVPN
IKEv2/IPsec: нативный протокол под прицелом DPI
IKEv2 с IPsec — протокол 2005 года, встроенный в iOS, macOS и Windows: не нужно ставить приложение, а смену Wi-Fi на LTE он переживает без разрыва. Но работает он на фиксированных UDP-портах 500 и 4500, по которым фильтр находит его без анализа содержимого. В SomonVPN IKEv2 нет — на фильтруемых сетях его место заняли Reality, XHTTP и TUIC.
IKEv2 — редкий случай, когда VPN-протокол поддержан операционными системами из коробки: профиль в настройках iPhone или Windows, и туннель работает без сторонних программ. Для корпоративных сценариев это до сих пор веский аргумент.
Расплата за стандартность — предсказуемость. Стандарт жёстко фиксирует порты и структуру обмена, и оборудованию фильтрации не требуется даже DPI в полном смысле: достаточно списка портов.
- Год появления
- 2005
- Транспорт
- UDP 500/4500 + ESP
- Встроен в системы
- iOS, macOS, Windows
- Есть в SomonVPN
- Нет
Как устроена связка IKEv2/IPsec
Работу делят два компонента: IKEv2 договаривается о ключах и параметрах защиты, IPsec (протокол ESP) шифрует и переносит сами данные. Расширение MOBIKE позволяет клиенту менять IP-адрес без пересогласования — отсюда фирменная устойчивость к переключению между Wi-Fi и мобильной сетью, за которую протокол любят на ноутбуках и телефонах.
Порты, которые всё выдают
Обмен IKEv2 всегда начинается на UDP-порту 500 и продолжается на 4500, а полезная нагрузка идёт протоколом ESP. Ни один из этих признаков не спрячешь — они прописаны в стандарте. Фильтру достаточно ограничить три позиции, чтобы вывести из строя все IKEv2-соединения сети разом, не разбирая ни единого байта содержимого. На мобильных сетях России такие ограничения в отдельные периоды фиксируются, и никакой настройкой клиента это не обходится.
Сильные стороны IKEv2
Нативная реализация экономит батарею и не требует доверия к стороннему приложению. Переустановление сессии после смены сети происходит быстрее, чем у OpenVPN. В регионах без фильтрации трафика IKEv2 — вполне рациональный выбор для личного сервера или корпоративного доступа: там его предсказуемость из недостатка превращается обратно в достоинство.
Сравнение с протоколами SomonVPN
| Критерий | IKEv2/IPsec | Reality | TUIC |
|---|---|---|---|
| Как выглядит для фильтра | Фиксированные порты 500/4500, ESP | TLS-сессия с настоящим сайтом | Обычный QUIC, как HTTP/3 |
| Можно ли опознать без DPI | Да, по портам | Нет | Нет |
| Переживает смену сети | Да, MOBIKE | Переподключение через Smart Connect | Да, 0-RTT |
| Есть в SomonVPN | Нет | Да, основной | Да |
Как подключить iPhone, если не через IKEv2
Нативного приложения SomonVPN для iOS пока нет — и это честный ответ. Подключение работает через клиент Happ из App Store: в него импортируется подписочная ссылка SomonVPN, и устройство получает те же Reality-конфигурации, что и Android-приложение (доступный набор протоколов зависит от возможностей клиента). Той же схемой подключаются Windows, macOS и Android TV. Ссылку выдаёт бот @somonvpnbot после оформления подписки, настройка занимает пару минут.
Частые вопросы
iPhone поддерживает IKEv2 из коробки — почему SomonVPN им не пользуется?
Потому что нативность не помогает, когда протокол блокируется на уровне портов. Стабильность подключения на сетях России и Центральной Азии важнее удобства настройки, поэтому SomonVPN на iOS работает через Happ с протоколами, устойчивыми к фильтрации.
IKEv2 сейчас работает в России?
По сообщениям пользователей — нестабильно: на одних сетях соединения проходят, на других UDP-порты 500 и 4500 в отдельные периоды ограничиваются. Предсказать поведение конкретного оператора нельзя, что для повседневного VPN само по себе дисквалифицирующий фактор.
Чем IKEv2 лучше OpenVPN?
Он быстрее устанавливает соединение, элегантнее переживает смену сети благодаря MOBIKE и встроен в операционные системы. Под DPI оба протокола уязвимы, но по-разному: OpenVPN узнают по сигнатуре пакетов, IKEv2 — просто по портам.
Безопасен ли IKEv2 для передачи данных?
Да, современные конфигурации IPsec используют стойкую криптографию, и для защиты данных протокол пригоден. Вопрос не в безопасности, а в доступности: на фильтруемых сетях соединение может не установиться вовсе.
Попробуйте IKEv2 в деле
В приложении SomonVPN протокол выбирается в один тап — или доверьте выбор Smart Connect.