L2TP: что это за протокол и как его настроить

Кирилл15 сентября 2026 г.6 мин чтенияVPN протоколы

L2TP (Layer 2 Tunneling Protocol) — один из старейших VPN-протоколов, появившийся ещё в 1999 году. Он встроен практически в каждую операционную систему — от Windows 2000 до Android 15 и iOS 18. Именно поэтому L2TP по-прежнему используется миллионами людей: он не требует установки дополнительного ПО, настраивается за 5 минут и работает на любом устройстве. Но у L2TP есть серьёзные ограничения: он значительно медленнее современных протоколов, уязвим для DPI и не обеспечивает шифрования сам по себе — всё шифрование ложится на плечи IPsec. В этом справочнике — полный разбор L2TP: от истории создания до деталей настройки на каждой платформе.

История создания

Предшественники: PPTP и L2F

PPTP (Point-to-Point Tunneling Protocol, 1996) — первый массовый VPN-протокол, разработанный Microsoft. Использовал MPPE-128 шифрование, которое было взломано в 2012 году. PPTP был быстрым, но небезопасным.

L2F (Layer 2 Forwarding, 1998) — протокол, разработанный Cisco. Обеспечивал туннелирование, но не включал шифрование. Использовался в корпоративных решениях Cisco.

Появление L2TP

В 1999 году IETF (Internet Engineering Task Force) объединил лучшие черты PPTP и L2F в новом протоколе — L2TP (RFC 2661). L2TP наследовал туннелирование второго уровня от L2F и простоту настройки от PPTP, но по-прежнему не включал встроенное шифрование.

Для шифрования L2TP был спарен с IPsec — результат стал известен как L2TP/IPsec (RFC 3193, 2001).

Эволюция

L2TPv2 (RFC 2661, 1999) — оригинальная версия
L2TPv3 (RFC 3931, 2005) — расширенная версия с поддержкой не-IP протоколов и улучшенной безопасностью. Используется в корпоративных сетях, но не в consumer VPN.

Архитектура L2TP

Компоненты

LAC (L2TP Access Concentrator) — сервер, принимающий VPN-соединения. Обычно это VPN-сервер.

LNS (L2TP Network Server) — сервер, обрабатывающий туннель и PPP-сессии. Часто LAC и LNS — один и тот же сервер.

PPP (Point-to-Point Protocol) — протокол канального уровня, используемый для аутентификации и инкапсуляции IP-пакетов внутри L2TP-туннеля.

Двойная инкапсуляция

L2TP использует двойную инкапсуляцию:

Первый слой (L2TP): PPP-кадр инкапсулируется в L2TP-заголовок
Второй слой (UDP): L2TP-пакет инкапсулируется в UDP-пакет
Третий слой (IPsec): UDP-пакет шифруется и аутентифицируется через IPsec ESP
Четвёртый слой (UDP/IP): IPsec-пакет инкапсулируется в новый UDP/IP заголовок

Итого: 4 уровня инкапсуляции. Это создаёт значительный overhead — до 60–80 байт на каждый пакет.

Порты

L2TP использует UDP порт 1701
IPsec использует UDP порт 500 (IKE) и UDP порт 4500 (NAT-T)

Шифрование: L2TP + IPsec

Почему L2TP без IPsec небезопасен

L2TP сам по себе не шифрует трафик. PPP-кадры передаются в открытом виде. Без IPsec любой, кто может перехватить трафик между LAC и LNS, может прочитать все данные.

IPsec: как это работает

IPsec (Internet Protocol Security) — набор протоколов для защиты IP-трафика. В контексте L2TP используется:

IKE (Internet Key Exchange): - Phase 1: установление ISAKMP SA (Security Association) — защищённый канал управления - Phase 2: установление IPsec SA — параметры шифрования данных

ESP (Encapsulating Security Payload): - Шифрование данных: AES-128, AES-256 (CBC или GCM) - Аутентификация: HMAC-SHA-256, HMAC-SHA-384 - Anti-replay: защита от повторной отправки пакетов

Проблемы IPsec в связке с L2TP

IKEv1 vs IKEv2: многие реализации L2TP/IPsec используют устаревший IKEv1 вместо IKEv2. IKEv1 имеет известные уязвимости (CVE-2002-1119, CVE-2005-3733).

PSK (Pre-Shared Key): при использовании PSK без DH обмена — нет Perfect Forward Secrecy. Компрометация ключа раскрывает весь прошлый трафик.

Aggressive Mode: некоторые реализации используют Aggressive Mode IKEv1, который уязвим для offline brute-force атаки.

Настройка L2TP/IPsec

Windows 10/11

Параметры → Сеть и Интернет → VPN → Добавление VPN-подключения
Провайдер VPN: Windows (встроенный)
Имя подключения: любое
Имя или адрес сервера: vpn.example.com
Тип VPN: L2TP/IPsec с предварительным ключом
Предварительный ключ: ваш-ключ
Тип входа: Имя пользователя и пароль
Сохранить

Дополнительно: если подключение не устанавливается: 1. Панель управления → Сетевые подключения 2. Правой кнопкой по VPN-подключению → Свойства 3. Безопасность → Дополнительные параметры 4. Введите предварительный ключ 5. Данные → снимите галочку «Включить Windows domain login»

macOS

Системные настройки → Сеть → «+»
Интерфейс: VPN
Тип VPN: L2TP через IPsec
Имя сервиса: любое
Сервер: vpn.example.com
Имя учётной записи: ваш логин
Параметры аутентификации → Пароль + Общий ключ (Shared Secret)
Дополнительно → «Отправлять весь трафик через VPN»

Android

Настройки → Сеть и Интернет → VPN → «+»
Имя: любое
Тип: L2TP/IPsec PSK
Адрес сервера: vpn.example.com
IPSec предварительный ключ: ваш ключ
Имя пользователя / Пароль
Сохранить

iOS

Настройки → Основные → VPN и управление устройством → Добавить конфигурацию VPN
Тип: L2TP
Описание: любое
Сервер: vpn.example.com
Учётная запись: ваш логин
RSA SecurID: выкл.
Пароль: ваш пароль
Общий секрет: ваш ключ
Отправлять весь трафик: вкл.

Linux

# Установка
sudo apt install xl2tpd strongswan

# Конфигурация IPsec /etc/ipsec.conf
conn l2tp
    type=transport
    left=%defaultroute
    leftprotoport=udp/1701
    right=vpn.example.com
    rightprotoport=udp/1701
    authby=secret
    auto=add

# Секрет /etc/ipsec.secrets
: PSK "ваш-ключ"

# Конфигурация L2TP /etc/xl2tpd/xl2tpd.conf
[lac vpn-connection]
lns = vpn.example.com
ppp debug = yes
pppoptfile = /etc/ppp/options.l2tpd.client
length bit = yes

# PPP options /etc/ppp/options.l2tpd.client
ipcp-accept-local
ipcp-accept-remote
refuse-eap
require-mschap-v2
noccp
noauth
mtu 1410
mru 1410
nodefaultroute
usepeerdns
connect-delay 5000
name "ваш-логин"
password "ваш-пароль"

Современность: L2TP в 2026 году

Статус протокола

L2TP/IPsec считается устаревшим протоколом:

NIST не рекомендует L2TP для новых развертываний
Cisco рекомендует мигрировать на IKEv2 или AnyConnect
Большинство VPN-сервисов поддерживают L2TP для совместимости, но не рекомендуют по умолчанию

Блокировка в России

L2TP на стандартном порту 1701 легко обнаруживается и блокируется DPI. Попытки использовать нестандартные порты частично решают проблему, но DPI может обнаружить L2TP по сигнатуре протокола.

Когда ещё используется

Устройства без поддержки WireGuard или OpenVPN
Старые роутеры с встроенной поддержкой L2TP
Корпоративные сети с legacy-инфраструктурой
Быстрая настройка без установки ПО

L2TP vs. современные протоколы

Параметр	L2TP/IPsec	WireGuard	OpenVPN	IKEv2/IPsec
Скорость	★★★☆☆	★★★★★	★★★★☆	★★★★☆
Безопасность	★★★☆☆	★★★★★	★★★★★	★★★★★
Обход DPI	★☆☆☆☆	★★★☆☆	★★★☆☆	★★☆☆☆
Совместимость	★★★★★	★★★★☆	★★★★★	★★★★☆
Overhead	Высокий	Низкий	Средний	Средний
Roaming	★★☆☆☆	★★★★★	★★☆☆☆	★★★★★