¿Qué es L2TP/IPsec?
Basado en L2TP, que el RFC 2661 describió ya en 1999, L2TP/IPsec es un protocolo VPN antiguo con un cliente integrado en Windows, macOS e iOS (Android 12 y versiones posteriores lo eliminaron). Una VPN L2TP no necesita ninguna aplicación adicional en esos sistemas, pero Microsoft ha dejado de recomendar L2TP y lo ha declarado obsoleto para futuras versiones de Windows Server. SHP.network no ofrece L2TP entre sus 7 protocolos. Para una VPN integrada en su propio servidor, SHP.network configura en su lugar IKEv2, lista en un plazo de 10 minutos tras el pago.
Fundamentos del protocolo L2TP/IPsec
El nombre L2TP significa Layer Two Tunneling Protocol (protocolo de túnel de capa 2). L2TP surgió del L2F de Cisco y tomó elementos de PPTP; ingenieros de Cisco, Microsoft y otras empresas redactaron su estándar, RFC 2661, publicado en agosto de 1999. El protocolo L2TP transporta el tráfico, pero por sí solo no cifra nada. Para proteger los datos, funciona junto con IPsec (tal como especificó el RFC 3193 de noviembre de 2001), de ahí la barra en el nombre.
Cómo funciona L2TP/IPsec
Primero, su dispositivo envuelve el tráfico en tramas PPP, y L2TP las transporta por un túnel L2TP sobre el puerto UDP 1701. Después, IPsec ESP protege cada paquete resultante en su conjunto, de modo que los datos viajan con dos capas de encapsulación. Antes de todo ello, ambas partes acuerdan las claves mediante IKE sobre el puerto UDP 500, o el 4500 cuando hay un router NAT entre ellas. El RFC 3193 hace obligatorio el soporte del modo de transporte de IPsec en esta combinación; el modo túnel sigue siendo opcional.
L2TP frente a PPTP
PPTP pertenece a la misma generación: su especificación, RFC 2637, apareció en julio de 1999, y el protocolo funciona sobre el puerto TCP 1723 con GRE. El método de inicio de sesión más extendido en las configuraciones PPTP, MS-CHAP v2, está roto. En 2012, Microsoft advirtió de que un código de ataque publicado permite recuperar las credenciales de los usuarios y recomendó proteger el túnel con PEAP o pasar a L2TP, IKEv2 o SSTP. Apple eliminó PPTP en iOS 10 y macOS Sierra, y sus dispositivos ya no lo ofrecen.
Ventajas e inconvenientes de L2TP/IPsec
Los clientes integrados son el punto fuerte del protocolo, mientras que en seguridad se queda por detrás de diseños más recientes.
| L2TP/IPsec | |
|---|---|
| Cliente integrado | Windows, macOS e iOS (no en Android 12 y posteriores) |
| Estándar abierto | RFC 2661 dentro del proceso de estándares del IETF |
| Cifrado | IPsec ESP protege cada paquete |
| La postura de Microsoft | no recomendado, obsoleto para futuras versiones de Windows Server, desactivado por defecto en las nuevas configuraciones de servidor VPN de Windows Server 2025 |
| Clave precompartida | Microsoft la considera menos segura que los certificados |
| Bloqueo | los puertos fijos UDP 500, 4500 y 1701 son fáciles de bloquear |
| Velocidad | la doble encapsulación añade sobrecarga |
L2TP comparado con otros protocolos VPN
En una comparación directa con PPTP y con cada protocolo VPN más reciente, L2TP/IPsec queda por detrás de IKEv2 en velocidad y seguridad, y ninguno de los cinco resiste bien la DPI.
| L2TP/IPsec | PPTP | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Velocidad | moderada: la doble encapsulación añade sobrecarga | alta | alta | alta | moderada |
| Seguridad | no recomendado por Microsoft | comprometida: las credenciales de MS-CHAP v2 se pueden recuperar | estándar del IETF con años de revisión por pares | protocolo verificado formalmente | auditado en repetidas ocasiones, la más reciente por SRLabs en 2026 |
| Resistencia a DPI | débil: puertos fijos UDP 500, 4500 y 1701 | débil: TCP 1723 y GRE | débil: puertos UDP fijos 500 y 4500 | débil: no está diseñado para eludir bloqueos | débil: no está diseñado para eludir bloqueos |
| Integrado en el sistema operativo | Windows, macOS, iOS | Windows | Windows, macOS, iOS | mediante la aplicación WireGuard | mediante la aplicación OpenVPN Connect |
Cómo configurar una conexión VPN L2TP
SHP.network deja L2TP/IPsec fuera de sus protocolos, pero con acceso root puede configurar usted mismo una conexión L2TP en su propio servidor.
Pida un servidor con un sistema operativo limpio
Elija un plan y una ciudad en SHP.network y no seleccione ningún protocolo: obtendrá Ubuntu 24.04 sin ningún software VPN. El acceso root por SSH se incluye en todos los planes (incluida la prueba de 7 días).
Instale el software del servidor
Por SSH, instale strongSwan o Libreswan para IPsec junto con xl2tpd. Después, añada una clave precompartida y las cuentas de usuario, y abra los puertos UDP 500 y 4500, además de ESP (protocolo IP 50), en el cortafuegos que SHP.network configura en cada servidor.
Añada la VPN en su dispositivo
En los ajustes de VPN integrados, elija L2TP/IPsec e introduzca la dirección IP del servidor, la clave precompartida, su nombre de usuario y su contraseña.
Alternativas modernas a L2TP
En lugar de L2TP/IPsec, elija uno de los protocolos VPN que SHP.network instala en su servidor:
Integrado como L2TP
IKEv2 funciona con los clientes VPN de Windows, macOS e iOS, y SHP.network lo configura en su servidor en un plazo de 10 minutos. En Android, se conecta mediante la aplicación strongSwan.
Diseñado para la velocidad
WireGuard es rápido, y una demostración con Tamarin verifica formalmente el protocolo.
Probado durante años y auditado
Si está comparando L2TP con OpenVPN, merece la pena echar un vistazo a este último: ha sido auditado en repetidas ocasiones, la más reciente por SRLabs en 2026.
Una prueba de 7 días en el plan Basic cuesta €1.
Instale IKEv2 en su servidorPreguntas frecuentes
El Layer Two Tunneling Protocol del RFC 2661 (1999). Transporta tramas PPP a través de un túnel, pero no tiene cifrado propio, por eso funciona junto con IPsec.
L2TP en sí funciona en UDP 1701, mientras que el intercambio de claves IKE usa el puerto 500 y el cruce de NAT el 4500, también sobre UDP.
No para nuevas instalaciones. Microsoft no recomienda L2TP porque carece de funciones de seguridad, y las nuevas instalaciones de servidor VPN en Windows Server 2025 lo rechazan por defecto, así que IKEv2 es la mejor opción. Donde L2TP sigue en uso, el mismo fabricante aconseja certificados en lugar de claves precompartidas.
Sí. L2TP/IPsec protege el tráfico, mientras que PPTP suele depender de inicios de sesión MS-CHAP v2 que los atacantes pueden descifrar, y los dispositivos de Apple ya no ofrecen el protocolo más antiguo.
IKEv2. Microsoft recomienda el cambio, Windows, macOS e iOS también tienen un cliente IKEv2 integrado, y SHP.network instala este protocolo en su propio servidor en un plazo de 10 minutos.
No en Windows, macOS, iOS y iPadOS, donde el cliente viene integrado: solo necesita la dirección del servidor, una clave precompartida, un nombre de usuario y una contraseña. Android 12 y versiones posteriores ya no lo incluyen.