如果您担心隐私 当您使用移动设备连接、频繁切换 Wi-Fi 和移动数据，或远程办公时，IKEv2 VPN 协议是确保这一切无缝运行的关键幕后功臣之一。虽然它可能不像其他一些协议那样广为人知，但它是大多数现代 VPN 服务的基础组成部分。
IKEv2 兼具速度、稳定性和安全性。 它依赖 IPsec 加密流量。它原生支持多种操作系统，针对移动设备进行了高度优化，并已成为 OpenVPN、WireGuard 或 L2TP/IPsec 的热门替代方案。让我们深入了解一下：它的工作原理、与 IKEv1 的区别、优缺点、如何在不同系统上配置，甚至在高级专业环境中如何使用它。
什么是IKEv2？它在VPN中扮演什么角色？
IKEv2（互联网密钥交换协议版本2）是一种密钥交换协议。 它会在您的设备和 VPN 服务器之间创建并管理一条安全隧道。它本身并不加密数据，而是始终依赖于 IPsec，IPsec 是一套实际处理加密和流量完整性的协议。
人们经常谈论IKEv2/IPsec。这是因为这两个组件协同工作：IKEv2 创建并协商安全关联 (SA)，定义所有数据的加密方式，并建立密钥；而 IPsec 则将这些规则应用于通过隧道传输的 IP 数据包。从用户的角度来看，他们只会看到 VPN 激活后，所有流量都通过安全隧道传输。
IKEv2 的一大优势 它原生支持 Windows、macOS、iOS、Android（部分通过 strongSwan 等客户端实现）以及许多 Linux 发行版等系统。这减少了安装额外软件的需求，并简化了配置，尤其是在企业环境和路由器上。
此外，IKEv2 的设计也充分考虑了移动性。借助 MOBIKE 等扩展程序，即使您的 IP 地址发生变化（例如，从 WiFi 切换到移动数据时），它也能保持连接，这使得它对智能手机、平板电脑和经常移动的用户特别有吸引力。
IKEv2 工作原理详解
IKEv2 的运行可以看作是一个包含两个主要阶段的过程。 在这里，您的设备（客户端）和 VPN 服务器会达成协议，建立一个安全隧道。虽然其底层原理更为复杂，但可以通过将其分解为几个阶段来理解。
实际上，IKEv2 首先会建立 IKE SA 合作伙伴关系。这构成了一个安全的“控制通道”。之后，会建立一个或多个子安全关联（Scyldin SA），它们实际上用于使用 IPsec 加密数据流量。让我们来看看这个过程中最关键的部分。
1. 握手和初始认证
当您使用 IKEv2 发起 VPN 连接时您的设备和服务器会进行初始消息交换（IKE_SA_INIT 和 IKE_AUTH）。在此阶段，双方会协商加密算法和 Diffie-Hellman 群组等参数，并执行相互认证。
身份验证可以通过多种方式完成。在企业环境中，可以使用数字证书、用户名和密码、预共享密钥 (PSK) 甚至企业协议 (EAP) 等方法。这就好比双方在开始私下交流之前，互相展示身份信息，并就共同的语言和规则达成一致。
在此次交易过程中，也进行了迪菲-赫尔曼交易。这样一来，双方就可以独立生成相同的对称密钥，而无需直接通过网络发送。攻击者可以看到这些消息，但实际上没有办法重构这些密钥。
2. 密钥交换和安全参数协商
初次问候之后，双方将协商安全伙伴关系（SA）。这些协议定义了将使用哪些加密算法、哪些完整性算法、密钥的有效期等等。最终会得到双方商定的一组参数，这些参数将在 IPsec 子安全关联 (SA) 中使用。
此阶段得到的密钥是对称的。也就是说，加密和解密使用同一个密钥。这比非对称加密效率高得多，非对称加密仅在连接建立阶段用于身份验证和密钥交换。
这项工作分为 IKEv2 和 IPsec 两部分。IKEv2 负责协商和配置安全关联 (SA)，而 IPsec 负责对通过隧道传输的每个 IP 数据包应用加密和身份验证，通常使用 ESP 和 AES 以及 HMAC 等模式。
3. 创建安全的 IPsec 隧道
身份验证和密钥协商完成后子安全关联 (Self SA) 已建立，这些关联实际上负责保护数据流量。从此刻起，您的所有 Web 请求、电子邮件、消息等在通过 IPsec 隧道传输时都会被封装和加密。
就像你的设备拥有一条专属高速公路一样。 它通过公共互联网直接连接到 VPN 服务器。其他用户、服务提供商或潜在的间谍只能看到 IPsec 加密的数据包，无法在不被发现的情况下读取或篡改其内容。
在许多高级场景中，还定义了流量选择器（TSi 和 TSr）。这些参数指示隧道内将保护哪些子网和 IP 地址。这在企业环境、站点到站点隧道或具有复杂路由器和防火墙的部署中尤其有用。
4. 保持与摩拜单车的连接
IKEv2 的优势之一在于它处理网络变化的方式。借助 MOBIKE 扩展，它可以适应您的公共 IP 的变化，例如从家庭 WiFi 切换到移动数据或在不同的网络之间切换时，而无需重新建立整个隧道。
实际上，这意味着可见的连接中断会减少。 对于用户而言，如果连接暂时中断，IKEv2 可以快速重建隧道，无需手动重新连接。在覆盖范围和接入方式不断变化的移动设备上，这一点尤为重要。
尽管像 WireGuard 这样的协议通常能提供更好的性能。 就速度和简易性而言，当优先考虑稳定性和与操作系统的原生兼容性时，IKEv2 仍然是一个非常可靠的选择。
5. 两阶段交换：IKE_SA_INIT 和 IKE_AUTH
从技术上讲，IKEv2 将协商过程分为两个主要步骤。第一部分 IKE_SA_INIT 主要负责协商加密参数并执行 Diffie-Hellman 密钥交换。第二部分 IKE_AUTH 则负责对两端进行身份验证，并创建第一个 IPsec 子安全关联 (SA)。
第一阶段涉及协商加密算法等事宜。IKE SA 的完整性、生命周期以及其他参数将确保第二阶段消息的安全。此时，安全的“控制通道”关闭。
在第二阶段，制定和更新儿童学生协议。这些安全关联负责保护用户流量。每个子安全关联都有有限的生命周期：当达到一定的时间或数据量时，会重新协商一个新的安全关联，获取新的密钥，从而加强隧道的长期安全性。
在 VPN 中使用 IKEv2 的优缺点
IKEv2/IPsec 已成为应用最广泛的 VPN 协议之一。 这得益于其在性能、安全性和稳定性方面的良好平衡。即便如此，就像任何事物一样，它也有其优缺点，在选择之前应该仔细考虑。
它最重要的优势之一是与各种安全算法兼容。这包括现代且强大的加密技术、基于证书的身份验证以及对 EAP 等机制的支持。这使得为家庭和企业用户设计高度安全的配置成为可能。
就性能而言，IKEv2 通常速度快、效率高。部分原因是 IKE 协商在用户空间运行，而 IPsec 在内核空间运行，从而可以实现更快的硬件访问。这带来了更低的延迟和更高的带宽利用率。
它还因支持摩拜单车和关注出行方式而脱颖而出。这使得它非常适合经常切换网络的智能手机和平板电脑。能够自由移动而无需担心 VPN 连接频繁断开，这在日常使用中是一大优势。
不利的一面是，IKEv2 的原始实现与微软和 Oracle 紧密相关。因此，它并非像 WireGuard 那样完全开放的设计协议。此外，它普遍使用 UDP 500 端口（NAT-T 使用 4500 端口），这使得它在审查严格或防火墙非常严密的网络中相对容易被屏蔽。
另一个关键问题是使用弱密码或管理不善的预共享密钥。当身份验证基于弱的、预共享的密钥时，攻击者更容易尝试暴力破解攻击或其他破解技术，因此建议始终使用长而复杂的密钥。
IKEv1 和 IKEv2 的主要区别
不可避免地，在谈到 IKEv2 时，就会涉及到与 IKEv1 的比较。IKEv1 是 IKEv2 的前身。虽然两者用途相同——协商和维护 IPsec 隧道——但版本 2 包含许多重要的改进，使得 IKEv1 实际上已经过时了。
最明显的改进之一是简化了消息交换。IKEv2 创建安全连接所需的消息更少，从而降低了隧道建立期间的初始延迟和带宽消耗。
它还增加了对 NAT 穿越的原生支持。如今，几乎所有人都通过执行 NAT 的路由器进行连接，这一点至关重要。IKEv2 使用 UDP 端口 4500 来穿越这些设备并保持隧道正常运行。
另一个主要区别在于对 EAP 的支持以及改进的非对称身份验证。这有助于与企业身份验证系统、目录以及比简单的用户名和密码更高级的方案进行集成。
IKEv2协议还包含旨在抵抗DDoS攻击的改进措施 更高效的安全协议管理，减少了所需的合作伙伴关系，从而降低了资源消耗。所有这些都有助于提高可靠性和可扩展性。
总而言之，IKEv2 比 IKEv1 更现代、更安全、速度更快、更实用。这就是为什么业界将重点放在版本 2 上，而将版本 1 放在一边，除非是在非常传统的环境中。
IKEv2 与其他 VPN 协议的比较
选择 VPN 协议时这不仅仅是比较IKE版本，还要看看它与IPsec、L2TP/IPsec、OpenVPN、WireGuard、PPTP或SSTP等替代方案相比如何。每种方案都有其自身的适用场景和优缺点。
IKEv2 与 IPsec 的比较 “简单明了”
IPsec 不是 IKEv2 的直接竞争对手，而是它的补充。IPsec负责IP数据包的加密和保护，而IKEv2负责密钥协商和安全关联。事实上，谈到“使用IKEv2”几乎总是意味着同时使用IKEv2和IPsec；二者密不可分。
因此，将 IKEv2 与 IPsec 视为“二选一”的选择是没有意义的。由于两者都是同一 VPN 解决方案的一部分，因此您可以选择 IKE（v1 或 v2）和 IPsec 的不同组合，甚至可以选择不依赖于 IPsec 的其他协议，例如 WireGuard。
IKEv2 与 L2TP/IPsec 对比
L2TP/IPsec 也依赖 IPsec 进行加密。因此，理论上，如果配置了强大的算法，两者都能达到类似的安全性。然而，L2TP 出现时间较早，过去曾因潜在漏洞而受到关注，并且根据一些知名的泄露事件，它还被怀疑曾被情报机构攻破。
就性能而言，IKEv2 通常更胜一筹。IKEv2/IPsec 隧道已被证明比 L2TP/IPsec 更快、更高效，开销更小、响应更好，尤其是在移动连接和具有 NAT 的网络中。
在稳定性方面，IKEv2 也具有明显的优势。无论是摩拜单车还是其现代设计，L2TP/IPsec 协议都适用。除了隐私方面声誉欠佳外，L2TP/IPsec 协议的灵活性也较差，更容易与防火墙和 NAT 设备发生冲突。
IKEv2 与 OpenVPN
OpenVPN可能是VPN领域最流行的协议。尤其值得一提的是，它是开源的，而且非常灵活。它可以运行在UDP或TCP协议下，当使用TCP 443端口时，它会伪装成HTTPS流量，从而使其具有极强的防火墙和审查系统防御能力。
就安全性而言，IKEv2/IPsec 和 OpenVPN 都可以说是非常强大的。……前提是它们配置了现代算法。目前还没有明显的赢家，而是两种成熟且经过充分研究的方案。
就速度而言，IKEv2 在许多情况下通常具有优势。由于其更轻量级的设计以及与内核中 IPsec 的集成，OpenVPN 具有显著优势。然而，它提供了丰富的配置选项，更适合于高度受限的网络环境，因为在这些环境中，IKEv2（主要限于 UDP 端口 500/4500）相对容易被屏蔽。
一个重要的细节是，OpenVPN 是完全开源的。而 IKEv2 的源地址更加封闭，这使得一些用户和组织在代码可审计性至关重要时倾向于选择 OpenVPN。
IKEv2 与 WireGuard
WireGuard 是“后起之秀”。 在 VPN 领域，它以极简设计（仅几千行代码）和完全开源而著称。它致力于提供简洁易用、高性能且易于审计的解决方案。
就原始性能而言，WireGuard 通常优于 IKEv2 和 OpenVPN。它提供极高的速度和极低的延迟。然而，它完全依赖于UDP协议，因此很容易被那些过滤此类流量的网络拦截。
从成熟度和部署角度来看，IKEv2 更为成熟。尤其是在商业环境、路由器和原生支持 WireGuard 的设备中。尽管 WireGuard 已得到广泛应用，但它仍在不断发展和改进，其处理密钥和 IP 地址的模型也引发了一些关于隐私的争议。
归根结底，这两种协议都具有许多实际优势。速度快、安全性高、易于使用。选择哪一个取决于 VPN 提供商的支持情况、您使用的网络类型，以及您更倾向于极简开放的设计（WireGuard）还是成熟可靠、注重移动性和原生支持的技术（IKEv2）。
IKEv2 与 PPTP 和 SSTP 的比较
PPTP 和 SSTP 是年代久远的协议。 这些方法现在被认为已经过时，或者至少非常不建议使用。PPTP 记录了一些存在多年的严重漏洞，而 SSTP 虽然更强大，但也已被更现代的替代方案基本取代。
相比之下，IKEv2 提供了更优越的安全性。它性能显著更优，并且与大多数主流平台都具有足够的兼容性。既然有了IKEv2、OpenVPN或WireGuard，就没有理由再选择PPTP或SSTP了。
IKEv2 与设备、网络和防火墙的兼容性
IKEv2成功的原因之一是 它对各种平台的广泛支持是一大优势。许多系统都原生集成了该功能，方便终端客户端使用，也方便在路由器和防火墙上部署。
macOS 自 OS X 10.11 起就原生支持 IKEv2。这样一来，您无需第三方软件即可直接在网络设置中配置 VPN 连接。iOS 8 及更高版本也支持此功能，IKEv2 已成为系统自带的标准 VPN 选项。
在安卓系统上，支持情况一直在不断改善多年来，使用像 strongSwan 这样的客户端来利用 IKEv2 协议一直很常见，尽管新版本对这类连接的集成度更高。此外，许多 VPN 厂商和应用程序也都提供了对该协议的支持。
在 Linux 系统中，IKEv2 通常通过 strongSwan 等实现方式使用。IKEv2广泛应用于服务器、路由器和防火墙等环境中。在Windows系统中，较早的系统版本开始支持IKEv2，并且默认包含VPN客户端。不过，一些厂商选择在其应用程序中停止提供IKEv2支持，转而使用更新的协议。
至于路由器，许多现代型号都支持IKEv2/IPsec。 这可用于创建站点间隧道或启用安全远程访问。如果您想在家中设置自己的 VPN，并在外出时使用手机或笔记本电脑连接，这将特别有用。
网络注意事项、NAT 和防火墙
IKEv2 适用于大多数家庭和企业网络不过，有一些细节值得注意。默认情况下，它使用UDP端口500进行初始协商，使用UDP端口4500进行NAT穿越。
在典型的家庭网络中，使用传统的NAT路由器由于 NAT-T 的支持，IKEv2 通常可以正常工作。然而，在防火墙更为严格的办公环境或审查制度严苛的国家/地区，IKEv2 流量很容易被屏蔽。
许多路由器也允许您配置IKEv2隧道。 这些措施可以保护整个本地网络，因此连接到局域网的任何设备都可以受益于 VPN，而无需单独配置。这就需要正确定义子网、流量选择器和安全策略。
在移动网络中，大多数运营商允许 IKEv2 流量。然而，部分运营商可能会根据其政策或漫游条件限制、降低速度或阻止 VPN 连接。实际稳定性取决于网络覆盖范围、网络质量以及运营商自身的决策。
区域限制和DPI
通过使用定义明确的端口和流量模式使用深度包检测 (DPI) 技术相对容易检测到 IKEv2。在 VPN 被积极屏蔽的国家或网络中，该协议可能会变得不可靠甚至无法使用。
在这些情况下，会使用伪装成 TCP 443 端口上的 OpenVPN 的协议。 与 IKEv2 相比，特定的混淆解决方案往往具有更高的成功概率，因为 IKEv2 的流量特征更容易识别和过滤。
IKEv2 VPN 的实际设置
虽然 许多 VPN 提供商 他们提供的应用程序可以帮你配置好一切。很有意思的是，你可以同时使用自动化客户端和手动配置。如果你想充分利用 VPN 服务或搭建自己的服务器，这将非常有用。
使用 VPN 提供商应用程序即可轻松设置
现代商业服务通常允许您选择协议。 可以直接在应用内进行设置。只需在设备上安装该应用，进入设置部分，找到 VPN 或协议配置部分，然后从列表中选择 IKEv2 即可。
接下来，您通常只需要选择一个服务器即可。 选择可用选项（国家/地区、城市、服务器类型），然后单击连接。所有与证书、IKEv2 参数、IPsec 等相关的操作都会在后台自动处理。
在 Windows 系统中手动配置 IKEv2
Windows 集成了支持 IKEv2 的 VPN 客户端尽管一些供应商已决定停止提供此特定协议的配置模板，但手动创建 IKEv2 VPN 的一般步骤如下：
首先，您需要打开网络设置菜单。进入“设置”，然后依次进入“网络和 Internet”和“VPN”。从那里，点击“添加 VPN 连接”，然后选择“Windows（内置）”作为提供商。
接下来，输入您的VPN服务器详细信息。服务器地址、连接名称、VPN 类型（如果系统允许您指定，则为 IKEv2）以及您的提供商提供的身份验证凭据（用户名、密码、证书或预共享密钥）。
填写完信息后保存配置文件后，您就可以通过 Windows VPN 面板连接/断开连接。根据 VPN 服务提供商的不同，您可能需要配置高级设置或将证书导入系统证书存储区。
在 macOS 上手动配置 IKEv2
在 macOS 上，手动配置 IKEv2 也非常简单。虽然这通常需要从 VPN 提供商处下载证书：
通常情况下，需要先下载 IKEv2 证书。 从 VPN 服务商的网站下载。下载完成后，您需要使用“钥匙串访问”应用将其添加到您的登录钥匙串，并始终将其标记为受信任。
接下来，进入“系统设置”，然后进入“网络”。按下“+”按钮，选择“VPN”，然后选择IKEv2作为连接类型。输入服务器地址和身份验证凭据（用户名/密码或证书）。
在高级选项中，您可以选择身份验证方法。如有必要，请分配正确的证书并调整其他详细信息。完成后，单击“应用”，然后使用“网络”面板连接和断开 VPN。
在 Android 上使用 strongSwan 进行手动配置
在安卓系统上，使用 IKEv2 的经典方法是通过 strongSwan 应用。尤其是在内置支持不完整或未提供所有选项的设备上：
首先，您需要下载 VPN 服务提供的 IKEv2 证书。 并将其保存到您的设备。然后从 Google Play 安装“strongSwan VPN 客户端”。
打开 strongSwan 并点击“添加 VPN 配置文件”。输入服务器地址，根据提示导入服务器证书，并指定您的 VPN 提供商用户名和密码。
保存前，您可以测试连接并调整参数。 例如自动重试、使用隧道的 DNS 等。最后，保存配置文件并从 strongSwan 界面本身进行连接，如果系统请求，则信任证书。
iOS上的手动设置
在 iPhone 或 iPad 上，IKEv2 已完全集成到系统中。 它是在 VPN 设置中配置的：
通常情况下，您需要先下载 VPN 提供商的证书。 （如果您的浏览器不允许您直接下载，有时您需要使用 AirDrop。）点击即可将其安装到您设备的配置文件中，该配置文件位于“设置”>“通用”>“配置文件”或“VPN 和设备管理”中。
然后转到“设置”>“常规”>“VPN”>“添加 VPN 设置” 然后选择 IKEv2。输入服务器地址、远程 ID、本地 ID（如果需要）和身份验证凭据。在“证书”部分，如果您的提供商使用证书身份验证方法，请选择您已安装的证书。
您还可以启用“始终开启 VPN”等选项。 这样连接就会自动恢复。保存配置文件后，您可以在 iOS 设置中启用和停用 VPN。
在路由器中使用 IKEv2 及实际示例
除了可以通过手机或电脑使用 IKEv2 之外在路由器上配置 IKEv2/IPsec 以提供对家庭或办公网络的远程访问非常普遍。许多专业或半专业路由器，例如 TP-Link 和 Omada 等品牌的产品，都支持使用 IKEv2/IPsec 以及不同类型的身份验证方式。
一个典型的例子是客户端到局域网的场景。在此配置中，路由器充当 VPN 服务器，移动设备或笔记本电脑充当客户端。定义了客户端 LAN 模式的 IPsec 策略，远程主机被标记为 0.0.0.0（接受来自任何 IP 地址的连接），并指定了路由器的广域网和内部局域网。
预共享密钥在配置中定义。指定 VPN 客户端的 IP 地址范围（例如 10.10.10.0/24），并选择 IKE 协议版本为 IKEv2。在第一阶段，选择具有不同 Diffie-Hellman 分组的加密方案，例如 sha256-aes256，并配置协商模式以及本地和远程标识符类型。
对于 Android 系统，本地 ID 通常为 IP 地址类型。这意味着路由器在其广域网接口上拥有一个公网 IP 地址，无需任何中间 NAT。iOS 允许更灵活地使用本地和远程 ID 类型，使用名称而不是 IP 地址。
路由器配置完成后，您只需在移动设备上创建 IKEv2/IPsec 连接即可。 使用预共享密钥 (PSK)，指定名称、服务器地址、标识符 (ID) 和预共享密钥。如果一切配置正确，隧道将建立，您将能够像在局域网内一样浏览网页，并从分配的地址范围内获取 IP 地址（例如，10.10.10.1）。
高级应用场景：专业网络中的 IKEv2
在企业和运营商环境中，IKEv2 的使用方式要复杂得多。 与简单的用户连接相比，这更加复杂。一个典型的例子是使用 SRX 系列设备作为配置上传服务器来配置微蜂窝（小型移动电话基站）。
在这种部署方式中，微蜂窝基站出厂时仅配备最少的配置。 这样一来，它们就可以向 SRX 设备发起 IPsec IKEv2 隧道。详细的配置信息（IP 地址、子网掩码、DNS 等）不存储在小区内，而是存储在外部 RADIUS 服务器上。
当微型基站解除隧道连接时，SRX会使用证书对其进行身份验证。 认证完成后，它会将身份数据发送到 RADIUS 服务器。RADIUS 服务器会返回配置信息，SRX 会在隧道协商期间使用 IKEv2 配置负载将该配置信息返回给微蜂窝。
在此过程中，定义了特定的 TSi 和 TSr 流量选择器。 每个 VPN（例如，用于管理的 OAM 隧道和用于用户数据的 3GPP 隧道）都有自己的子网和路由实例。通过添加包含特定网络的第二个 TSr，甚至可以在特定子网内启用对等体通信。
这种解决方案利用了IKEv2传输额外配置的能力。 并可动态更新流量选择器。此外，它还兼容安全的点对点和点对多点隧道接口 (st0) 以及多节点高可用性，使其成为关键基础设施的强大组件。
IKEv2常见问题排查
尽管IKEv2相当可靠。当然，它也并非完美无缺，偶尔也会出现一些小问题。一些常见问题会反复出现，了解如何解决这些问题很有帮助。
连接卡在“正在连接”或“正在协商安全设置”界面
如果 VPN 一直尝试无限期地连接这通常表明存在身份验证问题或配置问题。第一步是检查服务器地址是否正确、身份验证类型是否匹配以及凭据（用户名/密码、证书或预共享密钥）是否正确。
此外，还必须确认证书是否已过期。 并且设备信任颁发机构。如果您使用的是商业服务提供商，最好尝试使用不同的服务器或重新下载更新后的配置文件。
连接VPN后无法访问互联网
VPN连接成功但仍然无法访问互联网的情况比较常见。在这种情况下，问题通常出在 DNS 解析或 IPv6 冲突上。常见的解决方案是： 手动配置 DNS 服务器 网络配置中的具体信息（例如 VPN 提供商自身的信息）。
禁用 IPv6 可以解决兼容性问题。 VPN 与系统或路由器的网络协议栈之间存在冲突。许多 VPN 服务建议在连接期间完全禁用 IPv6，以防止信息泄露或路由冲突。
证书错误
证书错误可能导致任何连接尝试突然终止。它们通常是由于证书过期、签名无效或系统时钟不同步造成的。
要解决此问题，请从提供商处重新下载证书。请确保设备上的时间和日期正确，并检查 CA 根证书是否已正确安装并标记为受信任。
DNS或IP地址泄露
如果 VPN 连接断开或配置错误DNS 或 IP 地址泄漏可能会发生，从而暴露您的部分网络流量。为降低这些风险，建议始终使用 VPN 提供的 DNS 服务器；此外，如果 VPN 对 IPv6 支持不佳，请考虑禁用 IPv6。
许多 VPN 应用都包含终止开关（Kill Switch）。此功能会在隧道断开时切断所有网络流量。启用此功能可以有效防止您的设备意外连接到未受保护的网络。
IKEv2 的应用场景和选择
IKEv2 仍然是一个极具吸引力的选择 对于那些优先考虑稳定性、与现代操作系统兼容性以及可靠性能（尤其是在移动设备上）的用户而言。
如果您正在寻找一种简单易用的原生安装方式，那么请放心使用。IKEv2 在安全性、速度和易于部署之间取得了良好的平衡。在网络限制严格或审查力度较大的环境中，OpenVPN（基于 TCP 443 端口）或基于混淆的解决方案可能表现更佳；如果您希望最大限度地提高性能，则可以考虑使用 WireGuard。
然而，许多服务提供商允许在多种协议之间切换。 它们都在同一个应用内，所以您不必局限于单一协议。您可以在相同条件下尝试 IKEv2、OpenVPN 和 WireGuard，并选择最符合您特定需求的、兼具速度、稳定性和兼容性的协议。
要充分了解 IKEv2 的工作原理、它与其他选项的区别以及如何配置它， 无论您是使用商业服务还是搭建自己的基础设施，这都能帮助您最大限度地发挥 VPN 的优势。有了清晰的认识，您就可以根据当前的 VPN 生态系统，做出明智的决策，决定何时使用 IKEv2/IPsec，何时选择其他协议。