O que é o L2TP/IPsec?
Baseado no L2TP, que o RFC 2661 descreveu já em 1999, o L2TP/IPsec é um protocolo VPN legado com cliente integrado no Windows, macOS e iOS (o Android 12 e versões posteriores deixaram de o incluir). Uma VPN L2TP não precisa de nenhuma aplicação adicional nesses sistemas, mas a Microsoft deixou de recomendar o L2TP e declarou-o obsoleto para as futuras versões do Windows Server. O SHP.network não oferece o L2TP entre os seus 7 protocolos. Para uma VPN integrada no seu próprio servidor, o SHP.network configura antes o IKEv2, pronto no prazo de 10 minutos após o pagamento.
Noções básicas do protocolo L2TP/IPsec
O nome L2TP vem de Layer Two Tunneling Protocol. O L2TP nasceu do L2F da Cisco e foi buscar elementos ao PPTP; engenheiros da Cisco, da Microsoft e de outras empresas redigiram a sua norma, o RFC 2661, publicado em agosto de 1999. O protocolo L2TP transporta o tráfego, mas sozinho não cifra nada. Para proteger os dados, funciona em conjunto com o IPsec (tal como especificou o RFC 3193 de novembro de 2001), daí a barra no nome.
Como funciona o L2TP/IPsec
O seu dispositivo começa por envolver o tráfego em tramas PPP, e o L2TP transporta-as por um túnel L2TP sobre a porta UDP 1701. Depois, o IPsec ESP protege cada pacote resultante como um todo, pelo que os dados viajam com duas camadas de encapsulamento. Antes disso, os dois lados acordam as chaves através do IKE na porta UDP 500, ou na 4500 quando há um router NAT pelo meio. O RFC 3193 torna obrigatório, nesta combinação, o suporte do modo de transporte do IPsec; o modo túnel continua opcional.
L2TP vs PPTP
O PPTP pertence à mesma geração: a sua especificação, o RFC 2637, surgiu em julho de 1999, e o protocolo funciona sobre a porta TCP 1723 com GRE. O método de autenticação muito usado nas configurações PPTP, o MS-CHAP v2, foi quebrado. Em 2012, a Microsoft alertou que código de ataque publicado permite recuperar as credenciais dos utilizadores e aconselhou proteger o túnel com PEAP ou mudar para L2TP, IKEv2 ou SSTP. A Apple retirou o PPTP no iOS 10 e no macOS Sierra, e os seus dispositivos já não o oferecem.
Vantagens e desvantagens do L2TP/IPsec
Os clientes integrados são o ponto forte do protocolo, mas em segurança fica atrás de soluções mais recentes.
| L2TP/IPsec | |
|---|---|
| Cliente integrado | Windows, macOS e iOS (não no Android 12 e posteriores) |
| Norma aberta | RFC 2661 no processo de normalização do IETF |
| Cifragem | O IPsec ESP protege cada pacote |
| Posição da Microsoft | não recomendado, obsoleto para as futuras versões do Windows Server, desativado por predefinição nas novas configurações de servidor VPN do Windows Server 2025 |
| Chave pré-partilhada | A Microsoft considera-a menos segura do que os certificados |
| Bloqueio | as portas fixas UDP 500, 4500 e 1701 são fáceis de bloquear |
| Velocidade | o duplo encapsulamento acrescenta sobrecarga |
O L2TP comparado com outros protocolos VPN
Numa comparação lado a lado com o PPTP e com cada protocolo VPN mais recente, o L2TP/IPsec fica atrás do IKEv2 em velocidade e segurança, e nenhum dos cinco resiste bem ao DPI.
| L2TP/IPsec | PPTP | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Velocidade | moderada: o duplo encapsulamento acrescenta sobrecarga | alta | alta | alta | moderada |
| Segurança | não recomendado pela Microsoft | quebrado: as credenciais MS-CHAP v2 podem ser recuperadas | norma do IETF com anos de revisão por pares | protocolo verificado formalmente | auditado várias vezes, a última pela SRLabs em 2026 |
| Resistência a DPI | fraca: portas fixas UDP 500, 4500 e 1701 | fraca: TCP 1723 e GRE | fraca: portas UDP fixas 500 e 4500 | fraca: não foi concebido para contornar bloqueios | fraca: não foi concebido para contornar bloqueios |
| Integrado no sistema operativo | Windows, macOS, iOS | Windows | Windows, macOS, iOS | através da aplicação WireGuard | através da aplicação OpenVPN Connect |
Como configurar uma ligação VPN L2TP
O SHP.network deixa o L2TP/IPsec fora dos seus protocolos, mas com acesso root pode configurar por conta própria uma ligação L2TP no seu servidor.
Encomende um servidor com um sistema operativo limpo
Escolha um plano e uma cidade no SHP.network e não selecione nenhum protocolo: recebe o Ubuntu 24.04 sem qualquer software VPN. O acesso root por SSH está incluído em todos os planos (incluindo o período experimental de 7 dias).
Instale o software do servidor
Por SSH, instale o strongSwan ou o Libreswan para o IPsec, juntamente com o xl2tpd. Depois, adicione uma chave pré-partilhada e contas de utilizador, e abra as portas UDP 500 e 4500, bem como o ESP (protocolo IP 50), na firewall que o SHP.network configura em cada servidor.
Adicione a VPN no seu dispositivo
Nas definições de VPN integradas, escolha L2TP/IPsec e introduza o endereço IP do servidor, a chave pré-partilhada, o seu nome de utilizador e a palavra-passe.
Alternativas modernas ao L2TP
Em vez do L2TP/IPsec, escolha um dos protocolos VPN que o SHP.network instala no seu servidor:
Integrado como o L2TP
O IKEv2 funciona com os clientes VPN do Windows, macOS e iOS, e o SHP.network configura-o no seu servidor no prazo de 10 minutos. No Android, liga-se através da aplicação strongSwan.
Concebido para a velocidade
O WireGuard é rápido, e uma prova em Tamarin verifica formalmente o protocolo.
Comprovado e auditado
Se está a ponderar entre L2TP e OpenVPN, vale a pena considerar o segundo: foi auditado várias vezes, a última pela SRLabs em 2026.
O período experimental de 7 dias no plano Basic custa €1.
Implemente o IKEv2 no seu servidorPerguntas frequentes
O Layer Two Tunneling Protocol do RFC 2661 (1999). Transporta tramas PPP por um túnel, mas não tem cifragem própria, e é por isso que funciona em conjunto com o IPsec.
O próprio L2TP usa a porta UDP 1701, enquanto a troca de chaves IKE usa a porta 500 e a travessia de NAT a 4500, também em UDP.
Não para novas instalações. A Microsoft não recomenda o L2TP por lhe faltarem funcionalidades de segurança, e as novas instalações de servidor VPN do Windows Server 2025 recusam-no por predefinição, pelo que o IKEv2 é a melhor escolha. Onde o L2TP continua em uso, o mesmo fabricante aconselha certificados em vez de chaves pré-partilhadas.
Sim. O L2TP/IPsec protege o tráfego, enquanto o PPTP depende normalmente de autenticações MS-CHAP v2 que os atacantes conseguem quebrar, e os dispositivos Apple já não oferecem o protocolo mais antigo.
IKEv2. A Microsoft recomenda a mudança, o Windows, o macOS e o iOS também têm um cliente IKEv2 integrado, e o SHP.network instala este protocolo no seu próprio servidor no prazo de 10 minutos.
Não no Windows, macOS, iOS e iPadOS, onde o cliente vem integrado: só precisa do endereço do servidor, de uma chave pré-partilhada, de um nome de utilizador e de uma palavra-passe. O Android 12 e versões posteriores já não o incluem.