Qu'est-ce que L2TP/IPsec ?
Fondé sur L2TP, que la RFC 2661 décrivait dès 1999, L2TP/IPsec est un ancien protocole VPN dont le client est intégré à Windows, macOS et iOS (Android 12 et les versions suivantes l'ont abandonné). Sur ces systèmes, un VPN L2TP ne demande aucune application supplémentaire, mais Microsoft ne recommande plus L2TP et l'a déclaré obsolète pour les futures versions de Windows Server. SHP.network ne propose pas L2TP parmi ses 7 protocoles. Pour un VPN intégré sur votre propre serveur, SHP.network installe plutôt IKEv2, prêt dans les 10 minutes suivant le paiement.
Les bases du protocole L2TP/IPsec
Le nom L2TP signifie Layer Two Tunneling Protocol. L2TP est issu de L2F de Cisco et emprunte à PPTP ; des ingénieurs de Cisco, de Microsoft et d'autres entreprises ont rédigé sa norme, la RFC 2661, publiée en août 1999. Le protocole L2TP transporte le trafic mais ne chiffre rien par lui-même. Pour protéger les données, il fonctionne avec IPsec (comme le prévoit la RFC 3193 de novembre 2001), d'où la barre oblique dans le nom.
Comment fonctionne L2TP/IPsec
Votre appareil encapsule d'abord son trafic dans des trames PPP, puis L2TP les transporte dans un tunnel L2TP sur le port UDP 1701. IPsec ESP sécurise ensuite chaque paquet obtenu dans son ensemble : les données voyagent ainsi sous deux couches d'encapsulation. Au préalable, les deux parties conviennent des clés via IKE sur le port UDP 500, ou 4500 lorsqu'un routeur NAT se trouve entre elles. La RFC 3193 rend obligatoire la prise en charge du mode transport d'IPsec dans cette association ; le mode tunnel reste facultatif.
L2TP ou PPTP
PPTP appartient à la même génération : sa spécification, la RFC 2637, est parue en juillet 1999, et le protocole fonctionne sur le port TCP 1723 avec GRE. La méthode d'authentification couramment utilisée dans les configurations PPTP, MS-CHAP v2, est cassée. En 2012, Microsoft a averti qu'un code d'attaque publié permet de récupérer les identifiants des utilisateurs et a conseillé de sécuriser le tunnel avec PEAP ou de passer à L2TP, IKEv2 ou SSTP. Apple a supprimé PPTP dans iOS 10 et macOS Sierra, et ses appareils ne le proposent plus.
Avantages et inconvénients de L2TP/IPsec
Les clients intégrés font la force du protocole, mais en matière de sécurité, il reste en retrait face aux conceptions plus récentes.
| L2TP/IPsec | |
|---|---|
| Client intégré | Windows, macOS et iOS (pas Android 12 et versions ultérieures) |
| Norme ouverte | RFC 2661 sur la voie de normalisation de l'IETF |
| Chiffrement | IPsec ESP protège chaque paquet |
| L'avis de Microsoft | non recommandé, obsolète pour les futures versions de Windows Server, désactivé par défaut dans les nouvelles installations de serveur VPN sous Windows Server 2025 |
| Clé pré-partagée | Microsoft le juge moins sûr que les certificats |
| Blocage | les ports fixes UDP 500, 4500 et 1701 sont faciles à bloquer |
| Vitesse | la double encapsulation ajoute une surcharge |
L2TP comparé aux autres protocoles VPN
Comparé côte à côte à PPTP et à chaque protocole VPN plus récent, L2TP/IPsec reste derrière IKEv2 en vitesse et en sécurité, et aucun des cinq ne résiste bien au DPI.
| L2TP/IPsec | PPTP | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Vitesse | moyenne : la double encapsulation ajoute une surcharge | élevée | élevée | élevée | moyenne |
| Sécurité | non recommandé par Microsoft | cassé : les identifiants MS-CHAP v2 peuvent être récupérés | norme IETF éprouvée par des années d'examen par les pairs | protocole formellement vérifié | audité à plusieurs reprises, la dernière fois par SRLabs en 2026 |
| Résistance au DPI | faible : ports fixes UDP 500, 4500 et 1701 | faible : TCP 1723 et GRE | faible : ports UDP fixes 500 et 4500 | faible : pas conçu pour contourner les blocages | faible : pas conçu pour contourner les blocages |
| Intégré à l'OS | Windows, macOS, iOS | Windows | Windows, macOS, iOS | via l'application WireGuard | via l'application OpenVPN Connect |
Comment configurer une connexion VPN L2TP
SHP.network n'inclut pas L2TP/IPsec dans ses protocoles, mais grâce à l'accès root, vous pouvez configurer vous-même une connexion L2TP sur votre propre serveur.
Commandez un serveur avec un OS vierge
Choisissez un forfait et une ville sur SHP.network sans sélectionner de protocole : vous obtenez Ubuntu 24.04 sans aucun logiciel VPN. L'accès root via SSH est inclus dans chaque forfait (y compris l'essai de 7 jours).
Installez le logiciel serveur
Via SSH, installez strongSwan ou Libreswan pour IPsec, avec xl2tpd. Ajoutez ensuite une clé pré-partagée et des comptes utilisateurs, puis ouvrez les ports UDP 500 et 4500 ainsi qu'ESP (protocole IP 50) dans le pare-feu que SHP.network configure sur chaque serveur.
Ajoutez le VPN sur votre appareil
Dans les réglages VPN intégrés, choisissez L2TP/IPsec et saisissez l'adresse IP du serveur, la clé pré-partagée, votre nom d'utilisateur et votre mot de passe.
Alternatives modernes à L2TP
Au lieu de L2TP/IPsec, choisissez l'un des protocoles VPN que SHP.network installe sur votre serveur :
Intégré comme L2TP
IKEv2 fonctionne avec les clients VPN de Windows, macOS et iOS, et SHP.network l'installe sur votre serveur en 10 minutes. Sur Android, il se connecte via l'application strongSwan.
Conçu pour la vitesse
WireGuard est rapide, et une preuve Tamarin vérifie formellement le protocole.
Éprouvé et audité
Si vous hésitez entre L2TP et OpenVPN, ce dernier mérite le détour : il a été audité à plusieurs reprises, la dernière fois par SRLabs en 2026.
Un essai de 7 jours sur le forfait Basic coûte €1.
Déployez IKEv2 sur votre serveurQuestions fréquentes
Le Layer Two Tunneling Protocol de la RFC 2661 (1999). Il transporte des trames PPP dans un tunnel mais n'a pas de chiffrement propre, c'est pourquoi il fonctionne avec IPsec.
L2TP lui-même utilise UDP 1701, tandis que l'échange de clés IKE prend le port 500 et la traversée NAT le 4500, également en UDP.
Pas pour de nouvelles installations. Microsoft ne recommande pas L2TP, faute de fonctions de sécurité suffisantes, et les nouvelles installations de serveur VPN sous Windows Server 2025 le refusent par défaut : IKEv2 est donc le meilleur choix. Là où L2TP reste utilisé, le même éditeur conseille les certificats plutôt que les clés pré-partagées.
Oui. L2TP/IPsec sécurise le trafic, tandis que PPTP s'appuie souvent sur des connexions MS-CHAP v2 que les attaquants peuvent casser, et les appareils Apple ne proposent plus l'ancien protocole.
IKEv2. Microsoft recommande ce passage, Windows, macOS et iOS disposent eux aussi d'un client IKEv2 intégré, et SHP.network installe ce protocole sur votre propre serveur en 10 minutes.
Pas sur Windows, macOS, iOS et iPadOS, où le client est intégré : il vous suffit de l'adresse du serveur, d'une clé pré-partagée, d'un nom d'utilisateur et d'un mot de passe. Android 12 et les versions suivantes ne l'incluent plus.