Що таке L2TP/IPsec?
L2TP/IPsec є застарілим VPN-протоколом на основі L2TP, який описав RFC 2661 ще 1999 року; його клієнт вбудовано у Windows, macOS та iOS (Android 12 і новіші версії від нього відмовилися). На цих системах L2TP VPN не потребує додаткового застосунку, проте Microsoft перестала рекомендувати L2TP і оголосила його застарілим для майбутніх версій Windows Server. SHP.network не пропонує L2TP серед своїх 7 протоколів. Для вбудованого VPN на вашому власному сервері SHP.network натомість налаштовує IKEv2, готовий протягом 10 хвилин після оплати.
Основи протоколу L2TP/IPsec
Назва L2TP розшифровується як Layer Two Tunneling Protocol. L2TP виріс із L2F від Cisco і запозичив дещо з PPTP; його стандарт, RFC 2661, опублікований у серпні 1999 року, написали інженери Cisco, Microsoft та інших компаній. Сам протокол L2TP переносить трафік, але нічого не шифрує. Щоб захистити дані, він працює разом з IPsec (як визначив RFC 3193 від листопада 2001 року), звідси й скісна риска в назві.
Як працює L2TP/IPsec
Спочатку ваш пристрій пакує трафік у кадри PPP, а L2TP переносить їх тунелем L2TP через UDP-порт 1701. Потім IPsec ESP захищає кожен отриманий пакет цілком, тож дані проходять у двох шарах інкапсуляції. Перед цим обидві сторони узгоджують ключі через IKE на UDP-порту 500 або 4500, якщо між ними стоїть роутер із NAT. RFC 3193 робить підтримку транспортного режиму IPsec обов'язковою в цій зв'язці; тунельний режим лишається необов'язковим.
L2TP проти PPTP
PPTP походить із того самого покоління: його специфікація, RFC 2637, з'явилася в липні 1999 року, а сам протокол працює через TCP-порт 1723 разом із GRE. Метод входу MS-CHAP v2, який широко використовують у налаштуваннях PPTP, зламано. 2012 року Microsoft попередила, що опублікований код атаки дозволяє відновити облікові дані користувачів, і порадила захищати тунель за допомогою PEAP або перейти на L2TP, IKEv2 чи SSTP. Apple прибрала PPTP в iOS 10 та macOS Sierra, і її пристрої більше його не пропонують.
Переваги та недоліки L2TP/IPsec
Сильна сторона протоколу у вбудованих клієнтах, а за безпекою він поступається новішим рішенням.
| L2TP/IPsec | |
|---|---|
| Вбудований клієнт | Windows, macOS та iOS (крім Android 12 і новіших) |
| Відкритий стандарт | RFC 2661 на шляху стандартизації IETF |
| Шифрування | IPsec ESP захищає кожен пакет |
| Позиція Microsoft | не рекомендований, застарілий для майбутніх версій Windows Server, вимкнений за замовчуванням у нових VPN-серверах на Windows Server 2025 |
| Попередньо узгоджений ключ | Microsoft вважає його менш безпечним, ніж сертифікати |
| Блокування | фіксовані порти UDP 500, 4500 та 1701 легко заблокувати |
| Швидкість | подвійна інкапсуляція додає накладні витрати |
L2TP у порівнянні з іншими VPN-протоколами
У прямому порівнянні з PPTP і кожним новішим VPN-протоколом L2TP/IPsec поступається IKEv2 за швидкістю та безпекою, а жоден із п'яти не протистоїть DPI як слід.
| L2TP/IPsec | PPTP | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Швидкість | середня: подвійна інкапсуляція додає накладні витрати | висока | висока | висока | середня |
| Безпека | Microsoft не рекомендує | зламана: облікові дані MS-CHAP v2 можна відновити | стандарт IETF, роками перевірений фахівцями | формально верифікований протокол | неодноразово проходив аудит, востаннє від SRLabs у 2026 році |
| Стійкість до DPI | слабка: фіксовані порти UDP 500, 4500 та 1701 | слабка: TCP 1723 і GRE | слабка: фіксовані UDP-порти 500 і 4500 | слабка: не створений для обходу блокувань | слабка: не створений для обходу блокувань |
| Вбудований у систему | Windows, macOS, iOS | Windows | Windows, macOS, iOS | через застосунок WireGuard | через застосунок OpenVPN Connect |
Як налаштувати VPN-з'єднання L2TP
SHP.network не включає L2TP/IPsec до своїх протоколів, але з доступом root ви можете самостійно налаштувати з'єднання L2TP на власному сервері.
Замовте сервер із чистою системою
Оберіть тариф і місто на SHP.network, не вибираючи протокол: ви отримаєте Ubuntu 24.04 без жодного програмного забезпечення VPN. Доступ root через SSH входить у кожен тариф (зокрема у 7-денний пробний період).
Встановіть серверне програмне забезпечення
Через SSH встановіть strongSwan або Libreswan для IPsec разом з xl2tpd. Потім додайте попередньо узгоджений ключ і облікові записи користувачів та відкрийте UDP-порти 500 і 4500, а також ESP (IP-протокол 50) у фаєрволі, який SHP.network налаштовує на кожному сервері.
Додайте VPN на пристрої
У вбудованих налаштуваннях VPN оберіть L2TP/IPsec і введіть IP-адресу сервера, попередньо узгоджений ключ, ваше ім'я користувача та пароль.
Сучасні альтернативи L2TP
Замість L2TP/IPsec оберіть один із VPN-протоколів, які SHP.network встановлює на ваш сервер:
Вбудований, як і L2TP
IKEv2 працює з VPN-клієнтами Windows, macOS та iOS, і SHP.network налаштовує його на вашому сервері протягом 10 хвилин. На Android він підключається через застосунок strongSwan.
Створений для швидкості
WireGuard швидкий, а доказ у Tamarin формально верифікує цей протокол.
Перевірений часом і аудитами
Якщо ви обираєте між L2TP та OpenVPN, варто придивитися до другого: він неодноразово проходив аудит, востаннє від SRLabs у 2026 році.
7-денний пробний період на тарифі Basic коштує €1.
Розгорніть IKEv2 на своєму серверіПоширені запитання
Layer Two Tunneling Protocol із RFC 2661 (1999). Він переносить кадри PPP тунелем, але не має власного шифрування, тому працює разом з IPsec.
Сам L2TP працює на UDP 1701, обмін ключами IKE використовує порт 500, а проходження NAT використовує 4500, теж через UDP.
Не для нових розгортань. Microsoft не рекомендує L2TP, бо йому бракує функцій безпеки, а нові інсталяції VPN-сервера на Windows Server 2025 за замовчуванням його не приймають, тож IKEv2 буде кращим вибором. Там, де L2TP досі використовують, той самий виробник радить сертифікати замість попередньо узгоджених ключів.
Так. L2TP/IPsec захищає трафік, тоді як PPTP зазвичай покладається на вхід через MS-CHAP v2, який зловмисники можуть зламати, а пристрої Apple старіший протокол уже не пропонують.
IKEv2. Microsoft рекомендує перейти на нього, у Windows, macOS та iOS теж є вбудований клієнт IKEv2, а SHP.network встановлює цей протокол на ваш власний сервер протягом 10 хвилин.
Ні, якщо це Windows, macOS, iOS та iPadOS, де клієнт вбудовано: потрібні лише адреса сервера, попередньо узгоджений ключ, ім'я користувача та пароль. В Android 12 і новіших його вже немає.