Що таке PPTP?
PPTP, абревіатура від Point-to-Point Tunneling Protocol, є одним із найстаріших VPN-протоколів. VPN-клієнт PPTP досі вбудований у Windows, тож для PPTP-з'єднання там не потрібен додатковий застосунок. PPTP швидкий, але його захист слабкий. Серед 7 протоколів SHP.network PPTP немає. Якщо вам потрібен сучасний VPN-протокол на власному сервері, SHP.network налаштує для вас WireGuard, IKEv2 або OpenVPN протягом 10 хвилин після оплати.
- Microsoft оголосила його застарілим для майбутніх версій Windows Server
- Працює через TCP-порт 1723, а дані передає всередині GRE
- Оприлюднений код атаки відновлює дані для входу MS-CHAP v2
Основи VPN-протоколу PPTP
Протокол PPTP став однією з перших VPN-технологій, які набули широкого використання. Специфікацію PPTP, RFC 2637, написали інженери Microsoft разом із колегами з Ascend, 3Com, Copper Mountain Networks і ECI Telematics; її опублікували в липні 1999 року. Цей RFC має інформаційний статус: він описує протокол, але не робить його інтернет-стандартом. У схемі, яку описує RFC, концентратор доступу на телефонних лініях PSTN або ISDN передає ваш сеанс PPP (Point-to-Point Protocol) через IP до сервера всередині цільової мережі. Apple прибрала PPTP в iOS 10 і macOS Sierra, а в Android 12 і новіших версіях вбудований клієнт його більше не пропонує.
Як працює PPTP
Тунель PPTP складається з чотирьох частин:
- Ваш пристрій відкриває з'єднання керування через TCP до порту 1723 на сервері, і цей канал встановлює, підтримує та закриває тунель.
- Дані передаються окремо, як кадри PPP усередині розширеної версії GRE (Generic Routing Encapsulation, IP-протокол 47).
- PPP виконує вашу автентифікацію, найчастіше через MS-CHAP v2.
- Шифрування також забезпечує PPP, через MPPE (Microsoft Point-to-Point Encryption), що використовує шифр RC4 із 40-, 56- або 128-бітними ключами.
Безпека PPTP: чому його вважають небезпечним
Відомі вразливості в безпеці PPTP настільки серйозні, що протокол не підходить ні для чого приватного.
Чи безпечний PPTP?
Ні, не для приватних даних. Microsoft не рекомендує PPTP, бо протоколу бракує функцій безпеки, і Apple також радить від нього відмовитися. Головний аргумент на користь PPTP полягає в швидкості, і вона не переважує ризику. Два слабкі місця пов'язані з входом і шифруванням. MS-CHAP v2, метод, який широко використовують із PPTP, має відомі криптографічні слабкості: у 2012 році Microsoft попередила, що оприлюднений код атаки відновлює облікові дані користувача з перехопленого рукостискання, захопленого у відкритій мережі Wi-Fi або через атаку «людина посередині». У бюлетені безпеки радили захистити вхід за допомогою PEAP або перейти на L2TP, IKEv2 чи SSTP. З MS-CHAP v2 протокол MPPE отримує початкові сеансові ключі з вашого пароля і використовує RC4, шифр, заборонений у TLS з 2015 року через його слабкості. У протоколу є й власні прогалини. Його специфікація визнає, що повідомлення керування не мають ні автентифікації, ні захисту цілісності. Пакети GRE, з яких складається тунель, теж не мають криптографічного захисту.
PPTP проти інших VPN-протоколів
У порівнянні PPTP з L2TP чи PPTP з OpenVPN протокол PPTP виграє у швидкості та програє в безпеці. Кожен із протоколів L2TP/IPsec, IKEv2, WireGuard і OpenVPN безпечніший, хоча жоден із п'яти не протистоїть DPI достатньо добре.
| PPTP | L2TP/IPsec | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Швидкість | висока | середня: подвійна інкапсуляція додає накладні витрати | висока | висока | середня |
| Безпека | слабка: облікові дані MS-CHAP v2 можна відновити | Microsoft не рекомендує | стандарт IETF, роками перевірений експертами | формально верифікований протокол | неодноразовий аудит, востаннє від SRLabs у 2026 році |
| Стійкість до DPI | слабка: TCP 1723 і GRE | слабка: фіксовані порти UDP 500, 4500 і 1701 | слабка: фіксовані порти UDP 500 і 4500 | слабка: не створений для обходу блокувань | слабка: не створений для обходу блокувань |
| Вбудований у систему | Windows | Windows, macOS, iOS | Windows, macOS, iOS | через застосунок WireGuard | через застосунок OpenVPN Connect |
Коли PPTP використовують досі?
PPTP залишився в застарілих системах, які ще не перейшли на новіший протокол:
- Корпоративні сервери, оновлені до Windows Server 2025 без перевстановлення, де наявні конфігурації PPTP продовжують працювати, а клієнти Windows підключаються як раніше.
- Деякі роутери, які досі пропонують VPN-сервер PPTP, зокрема дорожні роутери TP-Link.
- Клієнти для Linux, як-от pptpclient, чий власний сайт називає PPTP небезпечно незахищеним, і NetworkManager-pptp.
Нові інсталяції Windows Server 2025 за замовчуванням відхиляють з'єднання PPTP, а Microsoft оголосила протокол застарілим для майбутніх випусків. Нову мережу не варто будувати на PPTP.
Сучасні альтернативи PPTP
Ці альтернативи є серед VPN-протоколів, які SHP.network встановлює на ваш власний сервер; усе готово протягом 10 хвилин після оплати.
Висока швидкість
WireGuard швидкий, на рівні PPTP. Ваш трафік іде через UDP-порт 51820 і шифрується ChaCha20-Poly1305. Протокол формально верифіковано доказом у Tamarin. Кожен пристрій має власну пару ключів, як у SSH.
Вбудований, як і PPTP
IKEv2 працює з VPN-клієнтами, вбудованими у Windows, macOS та iOS, тож жодній із цих систем не потрібен додатковий застосунок. Протокол швидкий. На Android IKEv2 підключається через застосунок strongSwan.
Працює майже всюди
OpenVPN працює на Windows, macOS, iOS, Android і Linux, а багато роутерів (зокрема моделі ASUS, MikroTik, GL.iNet і Keenetic) підтримують його в штатній прошивці. Його код неодноразово проходив аудит, востаннє його провела SRLabs у 2026 році.
Поширені запитання
Point-to-Point Tunneling Protocol. VPN-протокол, описаний у специфікації 1999 року, який передає ваш трафік PPP усередині пакетів GRE.
TCP-порт 1723 обслуговує з'єднання керування, а дані передаються в GRE (IP-протокол 47). Відкрити лише порт PPTP недостатньо: брандмауер має також пропускати GRE, бо цей протокол не має власного порту.
Так, якщо VPN-сервер PPTP вашого роботодавця досі приймає з'єднання: клієнт вбудований у Windows. Microsoft не радить використовувати PPTP і рекомендує IKEv2 або SSTP. Нові інсталяції Windows Server 2025 за замовчуванням відхиляють PPTP, тож запитайте свій ІТ-відділ про перехід.
Швидший за L2TP/IPsec та OpenVPN і на рівні з IKEv2 та WireGuard. WireGuard дає таку саму швидкість із сучасною криптографією та формально верифікованим протоколом.
WireGuard для швидкості, IKEv2 з VPN-клієнтами, вбудованими у Windows, macOS та iOS, або OpenVPN, який також працює на багатьох роутерах. SHP.network встановлює будь-який із цих протоколів на ваш власний сервер протягом 10 хвилин після оплати.