VPN с L2TP: что это, как работает, настройка и стоит ли использовать в 2025 году

Что такое L2TP и почему он до сих пор используется

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования, который сам по себе не шифрует данные и не аутентифицирует пользователей. Он лишь создаёт «трубу» между двумя точками, по которой передаются пакеты. Чтобы обеспечить безопасность, L2TP почти всегда используется в связке с IPsec — набором протоколов, отвечающих за шифрование и проверку подлинности. Такая комбинация называется L2TP/IPsec и долгое время была одним из самых распространённых способов организации VPN.

Несмотря на появление более современных протоколов, L2TP/IPsec остаётся встроенным во многие операционные системы и сетевые устройства. Это объясняется его совместимостью: он работает на Windows, macOS, Android (до версии 11), iOS, а также на маршрутизаторах MikroTik, Cisco и других. Для многих администраторов L2TP/IPsec — это простой способ соединить удалённые офисы или предоставить доступ сотрудникам к корпоративной сети без установки дополнительного ПО.

Однако важно понимать: L2TP/IPsec — это технология прошлого десятилетия. Microsoft официально объявила о прекращении поддержки L2TP в Windows Server 2025, а большинство коммерческих VPN-сервисов уже отказались от него в пользу WireGuard или OpenVPN. Тем не менее, в корпоративной среде и на старом оборудовании он продолжает работать, и знание его настройки остаётся востребованным навыком.

Как работает L2TP/IPsec: технические детали

Процесс установления соединения L2TP/IPsec можно разбить на несколько этапов:

1. Инициализация IPsec. Устройство и VPN-сервер согласовывают ключи шифрования через протокол IKE (Internet Key Exchange). Для этого используются UDP-порт 500 (ISAKMP) и, при необходимости, UDP-порт 4500 для NAT-T (Network Address Translation Traversal).
2. Создание туннеля L2TP. После установления защищённого канала L2TP формирует туннель, через который будут передаваться данные. L2TP использует UDP-порт 1701.
3. Инкапсуляция и шифрование. Каждый исходящий пакет получает заголовок L2TP, затем весь пакет шифруется и инкапсулируется в IPsec ESP (Encapsulating Security Payload). На стороне сервера происходит обратный процесс: расшифровка, удаление заголовков и передача данных в интернет.

Такая двойная инкапсуляция — сначала L2TP, затем IPsec — приводит к увеличению размера пакетов и дополнительной нагрузке на процессор. Это одна из причин, почему L2TP/IPsec работает медленнее, чем WireGuard или IKEv2. Кроме того, для корректной работы необходимо, чтобы в брандмауэре были открыты порты 1701, 500 и 4500, а также разрешён протокол ESP (IP-протокол 50). Если какой-то из этих элементов заблокирован, соединение не установится.

Важно отметить, что L2TP сам по себе не обеспечивает никакой защиты. Если IPsec-часть отключена или настроена неправильно, трафик будет передаваться в открытом виде. Поэтому при настройке всегда нужно проверять, что IPsec активен и используется принудительно.

Преимущества и недостатки L2TP/IPsec

Преимущества:

• Широкая совместимость. L2TP/IPsec поддерживается практически всеми операционными системами и сетевыми устройствами, включая старые модели роутеров и промышленное оборудование.
• Встроенная поддержка. Не требуется устанавливать дополнительное ПО — достаточно встроенных средств Windows, macOS, iOS или Android.
• Гибкость настройки. Можно настроить как добровольное подключение (клиент инициирует соединение), так и принудительное (весь трафик автоматически направляется через туннель).
• Подходит для site-to-site. L2TP/IPsec часто используется для объединения двух офисов через интернет, особенно если на маршрутизаторах нет поддержки более новых протоколов.

Недостатки:

• Низкая производительность. Двойная инкапсуляция и шифрование снижают скорость, особенно на слабых устройствах.
• Проблемы с NAT и файрволами. Требуется открывать несколько портов, а некоторые сети блокируют ESP-протокол, что делает соединение невозможным.
• Устаревшая криптография. Хотя IPsec использует современные алгоритмы (AES, SHA-2), сама архитектура L2TP/IPsec считается устаревшей, и Microsoft уже объявила о её деприкации.
• Сложность ручной настройки. Необходимо вручную вводить IP-адреса, ключи и параметры безопасности, что повышает риск ошибок.

В итоге, L2TP/IPsec — это компромисс между совместимостью и безопасностью. Для большинства современных сценариев лучше выбрать WireGuard или OpenVPN, но для legacy-систем он остаётся единственным вариантом.

Сравнение L2TP/IPsec с другими протоколами VPN

Чтобы понять, когда стоит использовать L2TP/IPsec, полезно сравнить его с основными альтернативами.

L2TP/IPsec vs PPTP. PPTP — один из самых старых протоколов, который использует слабое шифрование (MPPE) и давно взломан. L2TP/IPsec значительно безопаснее благодаря IPsec, но оба протокола считаются устаревшими. PPTP практически не используется, тогда как L2TP/IPsec ещё встречается на старом оборудовании.

L2TP/IPsec vs IKEv2. IKEv2 также использует IPsec, но является более современным и быстрым. Он лучше справляется со сменой сетей (например, переход с Wi-Fi на мобильный интернет) и не требует двойной инкапсуляции. IKEv2 — отличный выбор для мобильных устройств, тогда как L2TP/IPsec может обрываться при смене сети.

L2TP/IPsec vs OpenVPN. OpenVPN — это гибкий протокол, который может работать через любой порт (обычно 443 TCP/UDP), что делает его устойчивым к блокировкам. Он использует TLS для шифрования и поддерживает множество алгоритмов. L2TP/IPsec менее гибок и требует фиксированных портов, что упрощает его блокировку. OpenVPN сложнее в настройке, но современные приложения автоматизируют этот процесс.

L2TP/IPsec vs WireGuard. WireGuard — самый современный протокол, появившийся в 2016 году. Он использует современную криптографию (ChaCha20, Curve25519), имеет минимальный код (около 4000 строк) и работает значительно быстрее L2TP/IPsec. WireGuard отлично справляется с NAT и роумингом, но не поддерживается на старых устройствах. Для новых систем WireGuard — лучший выбор.

Таким образом, L2TP/IPsec уступает всем современным протоколам по скорости и удобству, но выигрывает в совместимости со старым оборудованием.

Настройка L2TP/IPsec на Windows 10 и 11

Настройка L2TP/IPsec в Windows 10 и 11 практически идентична. Для начала вам понадобятся следующие данные от вашего VPN-провайдера или системного администратора:

• IP-адрес или доменное имя VPN-сервера;
• логин и пароль пользователя;
• общий ключ (pre-shared key, PSK) для IPsec.

Пошаговая инструкция для Windows 10/11:

1. Нажмите Win + I, чтобы открыть «Параметры».
2. Перейдите в раздел «Сеть и Интернет» → «VPN».
3. Нажмите «Добавить VPN-подключение».
4. В открывшейся форме укажите:

• Поставщик услуг VPN: Windows (встроенные);
• Имя подключения: любое удобное название;
• Адрес или имя сервера: IP или домен;
• Тип VPN: L2TP/IPsec с предварительным ключом;
• Общий ключ: PSK;
• Тип данных для входа: Имя пользователя и пароль;
• Имя пользователя и пароль: ваши учётные данные.

1. Нажмите «Сохранить».
2. Чтобы подключиться, нажмите на значок сети в трее, выберите созданное подключение и нажмите «Подключить».

Если соединение не устанавливается, возможно, потребуется изменить дополнительные параметры. Для этого откройте «Центр управления сетями и общим доступом» → «Изменение параметров адаптера», найдите ваше VPN-подключение, откройте его свойства и на вкладке «Безопасность» убедитесь, что выбран тип VPN «L2TP/IPsec», а шифрование — «Обязательное». Также можно включить протокол MS-CHAP v2, если сервер требует именно его.

Важно: Если вы подключаетесь к корпоративной сети, администратор может попросить отключить «Использовать основной шлюз в удалённой сети». Это делается в свойствах TCP/IPv4 → «Дополнительно» → снять галочку с соответствующего пункта.

Настройка L2TP/IPsec на macOS, iOS и Android

macOS:

1. Откройте «Системные настройки» → «Сеть».
2. Нажмите на значок «+» в левом нижнем углу, выберите «VPN» в качестве интерфейса и «L2TP over IPsec» в качестве типа.
3. Введите название конфигурации, адрес сервера и имя учётной записи.
4. Нажмите «Параметры аутентификации» и введите пароль пользователя и общий секрет (PSK).
5. Нажмите «Создать», затем «Применить».
6. Для подключения выберите созданную конфигурацию в списке сетей и нажмите «Подключить».

iOS (iPhone/iPad):

1. Перейдите в «Настройки» → «Основные» → «VPN и управление устройством» → «VPN».
2. Нажмите «Добавить конфигурацию VPN».
3. Выберите тип «L2TP/IPsec».
4. Заполните поля: описание, сервер, учётная запись, пароль и секрет (PSK).
5. Сохраните конфигурацию и включите переключатель VPN.

Android (до версии 11):

1. Откройте «Настройки» → «Сеть и интернет» → «VPN».
2. Нажмите «+» для добавления новой сети.
3. Укажите имя, тип «L2TP/IPsec PSK», адрес сервера, секрет IPsec, имя пользователя и пароль.
4. Сохраните и подключитесь.

Обратите внимание: начиная с Android 12, встроенная поддержка L2TP была удалена. Если вам нужно использовать L2TP на современном Android, придётся устанавливать сторонние приложения, такие как strongSwan, или использовать другие протоколы.

Настройка L2TP/IPsec на маршрутизаторах MikroTik для объединения офисов

L2TP/IPsec часто используется для создания VPN-туннеля между двумя офисами (site-to-site). Рассмотрим настройку на примере маршрутизаторов MikroTik с RouterOS 7.x. В этом сценарии один маршрутизатор выступает в роли L2TP-сервера, другой — L2TP-клиента.

Настройка L2TP-сервера (R1):

1. Включите L2TP-сервер и укажите обязательное использование IPsec:

   /interface l2tp-server server set authentication=mschap2 enabled=yes use-ipsec=required ipsec-secret=IPsec_password

1. Создайте учётную запись для клиента:

   /ppp secret add name=office-2 password=office-2_password service=l2tp local-address=172.16.1.1 remote-address=172.16.1.2

1. Создайте статический интерфейс L2TP-сервера (рекомендуется для стабильности правил файрвола):

   /interface l2tp-server add name="L2TP Server for office-2" user=office-2

Настройка L2TP-клиента (R2):

1. Создайте L2TP-клиентский интерфейс:

   /interface l2tp-client add connect-to=100.64.111.1 user=office-2 password=office-2_password use-ipsec=yes ipsec-secret=IPsec_password name="L2TP office-1 connection"

Проверка соединения:

• На сервере выполните /interface l2tp-server print — должен появиться флаг R (running).
• На клиенте выполните /interface l2tp-client print — также должен быть флаг R.

Типичные проблемы:

• Неверный IP-адрес сервера или учётные данные.
• Блокировка портов брандмауэром. Убедитесь, что разрешены UDP 1701, 500, 4500 и протокол ESP.
• В России возможна блокировка IPsec со стороны Роскомнадзора. Если соединение не устанавливается, попробуйте временно отключить IPsec, чтобы проверить, в нём ли дело.

После установления туннеля необходимо настроить маршрутизацию между локальными сетями офисов. Для этого на каждом маршрутизаторе добавляются статические маршруты до удалённой подсети через VPN-интерфейс.

Безопасность L2TP/IPsec: стоит ли доверять в 2025 году

Вопрос безопасности L2TP/IPsec остаётся дискуссионным. С одной стороны, IPsec обеспечивает надёжное шифрование (AES-256, SHA-2) и аутентификацию, что делает перехват данных практически невозможным. С другой стороны, сам протокол L2TP устарел, и его архитектура имеет ряд недостатков.

Основные риски:

• Отсутствие шифрования без IPsec. Если IPsec отключён или настроен неправильно, данные передаются открытым текстом. Это критическая уязвимость, особенно при использовании в общественных сетях.
• Уязвимости в реализации. Некоторые реализации L2TP/IPsec могут содержать ошибки, которые позволяют атакующим обойти аутентификацию или расшифровать трафик. Например, в 2020 году были обнаружены уязвимости в Windows L2TP.
• Блокировки и DPI. Провайдеры и государственные органы могут блокировать L2TP/IPsec, так как он использует фиксированные порты и легко обнаруживается. В России Роскомнадзор активно блокирует IPsec-протоколы, что делает использование L2TP/IPsec ненадёжным.
• Отсутствие forward secrecy. В некоторых конфигурациях IPsec не обеспечивает совершенную прямую секретность (PFS), что означает, что при компрометации ключей все прошлые сеансы могут быть расшифрованы.

Когда L2TP/IPsec ещё можно использовать?

• Для подключения к корпоративной сети, где администратор явно требует L2TP/IPsec.
• Для работы со старым оборудованием, которое не поддерживает современные протоколы.
• Для site-to-site соединений между офисами, если нет возможности использовать WireGuard или OpenVPN.

В остальных случаях рекомендуется переходить на WireGuard или OpenVPN, которые обеспечивают более высокую производительность и безопасность. Если вы используете коммерческий VPN-сервис, убедитесь, что он поддерживает современные протоколы, и отключите L2TP/IPsec, если он доступен.

Пошаговое руководство по устранению неполадок L2TP/IPsec

Если L2TP/IPsec-соединение не устанавливается, следуйте этому чек-листу:

1. Проверьте учётные данные. Убедитесь, что логин, пароль и общий ключ (PSK) введены верно. Часто ошибки возникают из-за лишних пробелов или неправильного регистра.
2. Проверьте доступность сервера. Выполните ping до IP-адреса или доменного имени VPN-сервера. Если сервер недоступен, возможно, он выключен или заблокирован.
3. Проверьте порты. Убедитесь, что UDP-порты 1701, 500 и 4500 открыты на сервере и не блокируются брандмауэром. Также должен быть разрешён протокол ESP (IP-протокол 50).
4. Проверьте настройки IPsec. Убедитесь, что на клиенте и сервере совпадают алгоритмы шифрования и аутентификации. В большинстве случаев используются AES-256 и SHA-2.
5. Проверьте NAT. Если клиент находится за NAT, убедитесь, что используется NAT-T (UDP 4500). Некоторые маршрутизаторы требуют включения VPN passthrough.
6. Проверьте журналы. На Windows откройте «Просмотр событий» → «Журналы Windows» → «Система» и найдите ошибки, связанные с VPN. На MikroTik используйте /log print.
7. Временно отключите брандмауэр. Если соединение устанавливается после отключения брандмауэра, значит, проблема в правилах. Добавьте разрешающие правила для L2TP/IPsec.
8. Попробуйте другой протокол. Если L2TP/IPsec не работает из-за блокировок, рассмотрите использование OpenVPN или WireGuard.

Если ничего не помогает, обратитесь к администратору VPN-сервера или провайдеру услуг. Возможно, проблема на стороне сервера.

Вопросы и ответы