Что такое L2TP и почему его всегда называют в паре с IPsec
L2TP - это только способ построить туннель. Собственного шифрования содержимого у него нет, поэтому на практике его почти всегда запускают вместе с IPsec, который шифрует пакеты. Получившуюся связку и называют L2TP/IPsec. Если в настройках роутера или телефона вы видите просто L2TP без IPsec, трафик по этому туннелю идёт открытым.
Протокол остался в старых прошивках роутеров, во встроенных клиентах Windows, macOS, iOS и Android. Именно поэтому его до сих пор находят: настроить можно без установки программ.
Что нужно L2TP для работы
- Порт UDP 1701 для самого туннеля.
- Порт UDP 500 для обмена ключами IPsec.
- Порт UDP 4500, если между вами и сервером стоит NAT, то есть почти всегда дома.
- Общий секрет или сертификат для IPsec, который выдаёт владелец сервера.
- Логин и пароль пользователя.
Чем L2TP уступает современным протоколам
Главный минус - сложность. Нужно настроить сразу три порта, общий секрет и учётную запись, и если ошибиться в одном месте, соединение просто не поднимется без понятного сообщения. Для человека, который просто хочет вставить ключ и подключиться, это тяжело.
Второе неудобство - переподключение. L2TP/IPsec плохо переживает смену сети: на телефоне, который перескочил с Wi-Fi на мобильный интернет, туннель нередко приходится поднимать заново. Современные клиенты VLESS и WireGuard справляются с этим мягче, потому что умеют восстанавливать сессию сами.
Третье - место в маршруте. Пакеты упаковываются дважды, сначала в L2TP, потом в IPsec, и это добавляет служебных данных. На слабом роутере разница может быть заметна, хотя мы не публикуем замеров.
Где L2TP ещё имеет смысл
Он оправдан там, где менять нечего: корпоративные сети с уже настроенным оборудованием, старые роутеры без поддержки новых протоколов, устройства, на которые нельзя поставить сторонние программы. В таких случаях мы не советуем переделывать то, что работает. Достаточно убедиться, что используется IPsec с современным шифрованием и что секрет не лежит в общем чате.
Для домашнего использования на телефоне и компьютере удобнее клиент с ключом. Ключ Lotsman работает по VLESS, не по L2TP, и это решение сервиса, а не приговор. Страницу написал сервис, который продаёт свой ключ, поэтому критерии выше проверяйте по независимым источникам. Здесь поработала нейросеть, а не лаборатория: скорость никто не мерил, цифр в тексте нет.
Как понять, что проблема именно в L2TP
Сбой L2TP/IPsec почти всегда молчаливый: клиент крутит «подключение» и сдаётся без причины. Поэтому диагностику начинают с порядка. Сначала проверяют, доходит ли до сервера обмен ключами на порту 500, потом то, что работает NAT-траверсал на порту 4500, и только затем смотрят логин с паролем. Многие тратят вечер на пароль, хотя порты закрыты на стороне провайдера или роутера.
У домашних роутеров есть отдельная неприятность: часть моделей умеет пропускать L2TP только в режиме «сквозной» передачи, и одновременное подключение двух устройств к одному серверу путается. Если у вас в семье несколько таких клиентов, это стоит проверить заранее.
Если вы всё же настраиваете L2TP/IPsec
- Проверьте, что провайдер не режет UDP 500 и 4500 на вашем канале.
- Убедитесь, что включён IPsec, а не просто L2TP.
- Не используйте общий секрет, который подбирается словарём.
- Время на устройстве выставлено автоматически.
- Для телефона заведите отдельную учётную запись, а не общую на всех.
Вопросы и ответы
Умеет ли L2TP защищать данные без IPsec?
Нет. Шифрование даёт IPsec, поэтому правильно говорить L2TP/IPsec.
Подходит ли «бесплатный L2TP» из списков в интернете?
Источник профиля вы не контролируете, а логин и общий секрет принадлежат неизвестному владельцу. Мы не рекомендуем чужие бесплатные списки.
Можно ли подключиться к Lotsman по L2TP?
Нет, ключ выдаётся для VLESS.
Что лучше взять вместо L2TP?
Если оборудование позволяет, WireGuard или клиент на VLESS, а OpenVPN подходит там, где нужны файлы профиля.
Нужно ли открывать порты на домашнем роутере?
Для исходящего подключения обычно нет, роутер пропускает его сам. Порты нужны на стороне сервера.
Как узнать, что у меня именно L2TP, а не L2TP/IPsec?
Откройте параметры профиля: если есть поле общего ключа или сертификат, IPsec включён.