L2TP（第二层隧道协议）是一种会话层网络协议，是构建虚拟专用网络 (VPN) 的基本基石。L2TP 在 RFC 2661 中被正式定义，主要运行在 OSI 模型的数据链路层（第二层），但在现代 IP 网络中，它通常通过 UDP 端口 1701 进行传输。其技术本质在于能够封装点对点协议 (PPP) 帧，使其能够跨越各种可能不兼容的底层网络（如 IP、帧中继或 ATM）进行隧道传输，从而在 LAC（L2TP 访问集中器）和 LNS（L2TP 网络服务器）之间建立逻辑上的第二层连接。通过创建这种虚拟化隧道，L2TP 使远程客户端无论身处何地，都能表现得如同物理连接到本地企业网络一样。它利用控制通道来管理隧道的生命周期（建立、维护和拆除），并利用数据通道进行封装负载的实际传输。然而，从纯粹的专业安全角度来看，L2TP 技术上是“透明”的；它提供了传输基础架构，但缺乏内置的数据加密或来源身份验证机制。因此，它几乎完全与 IPsec 结合使用，构成 L2TP/IPsec 套件，从而将 L2TP 的隧道灵活性与 Internet 协议安全框架强大的加密安全性结合在一起。
L2TP 是如何工作的？
L2TP 通过封装数据包，并通过在用户设备与远程 VPN 服务器之间建立的专用 VPN 隧道进行传输，从而实现安全通信。
- 1 启动 / 发起 (Initiation): 当用户使用 L2TP 协议向 VPN 服务器发起连接请求时，该过程正式开始
- 2 隧道建立 (Tunnel Establishment): L2TP 创建一个虚拟隧道，充当一种传输机制，为通过互联网进行数据传输做好准备。
- 3 加密（IPsec 集成） 由于 L2TP 缺乏原生加密功能，因此采用 IPsec 套件对数据进行加密，从而提供必要的安全性及身份验证
- 4 安全传输 (Secure Transit): 现已加密的流量通过建立好的隧道在公共互联网中传输，并受到保护免受外部威胁
- 5 解密与交付: 到达目的地后，VPN 服务器会解密负载数据，并将原始流量转发到预定的内部资源或网站
备注: 由于 L2TP 本身不包含加密功能，因此使用 IPsec 对于确保端到端的数据保护至关重要
L2TP 的关键特性
二层隧道协议 (L2TP) 以其强大的隧道建立能力而著称，专门用于创建稳定的虚拟化隧道，从而促进网络流量在公共基础设施上的传输。其核心优势之一是卓越的跨平台兼容性；由于 L2TP/IPsec 已原生集成到包括 Windows、macOS、Linux、Android 和 iOS 在内的几乎所有主流操作系统中，因此它历来是企业级 VPN 部署的首选。除了易用性之外，该协议通过多协议支持提供了显著的灵活性，使其能够在不同环境中传输各种类型的网络流量。此外，L2TP 提供了全面的身份验证选项套件，支持 PAP、CHAP、MS-CHAP 和 EAP 等方法。当与 IPsec 框架集成时，这些能力得到进一步增强，包括基于证书的身份验证，从而确保了高度的身份验证和会话完整性。
▲ L2TP/IPsec 的优势
配合 IPsec 的强安全性
当与 IPsec 结合使用时，L2TP 可提供可靠的加密和身份验证标准，这被认为足以保障许多企业级应用的安全
广泛支持
大多数主流操作系统都包含原生支持，这意味着用户通常不需要安装额外的第三方软件
稳定的连接
L2TP 以在各种复杂的网络环境中维持可靠且一致的 VPN 连接而闻名
易于部署
由于原生支持非常普遍，无论是对于企业还是个人用户，配置 L2TP/IPsec 都相对简单直接
▼ L2TP/IPsec 的缺点
速度较慢
L2TP/IPsec 采用双重封装技术，这会显著增加开销，并且与现代协议相比可能会降低速度
防火墙限制
通常使用 UDP 端口 500 和 4500，这些端口经常成为限制性防火墙或 ISP（互联网服务提供商）拦截和封锁的目标
无内置加密
L2TP 本身并不对流量进行加密；它仅充当隧道，因此若要安全使用，必须集成 IPsec
陈旧的替代方案
诸如 WireGuard 和 OpenVPN 之类的较新协议提供了更好的性能、更高的效率以及更简单、更现代的配置方式
L2TP 安全吗？
L2TP 的安全性是一个微妙的话题，因为该协议本身并不具备内置的数据加密功能，因此其本质上并不安全。然而，当 L2TP 与 IPsec 结合使用时，只要实现和配置得当，通常被认为是一个安全的解决方案。L2TP/IPsec 连接的整体完整性很大程度上取决于几个关键因素，包括使用强加密算法、应用可靠的身份验证方法，以及在正确的 IPsec 配置下维护更新的软件实现。尽管有着这些稳健的安全标准，行业内仍在发生转变；许多 VPN 服务商现在开始优先采用 WireGuard 和 OpenVPN 等现代协议。这些较新的替代方案往往更受青睐，因为它们在不损害用户所期望的安全水平的前提下，提供了显著提升的速度和效率。
L2TP 与其他 VPN 协议：技术对比
在将 L2TP 与其前身 PPTP 进行评估对比时，最关键的区别在于它们的安全性和可靠性。虽然这两种协议有着共同的历史渊源，且都具备极高的设备兼容性，但 PPTP 如今由于加密标准存在漏洞，已基本被弃用并被视为不安全。相比之下，L2TP/IPsec 通过强加密提供了稳健的安全层，并保持了中等水平的速度，对于那些使用 PPTP 会带来重大安全风险的遗留系统来说，它是一个可靠的替代方案。
在 L2TP 与 OpenVPN 的博弈中，后者凭借其灵活性和开源基础脱颖而出，并在技术社区中赢得了广泛信任。尽管这两种协议都能提供高强度安全性和平衡的速度，但 OpenVPN 在绕过限制性防火墙方面要有效得多，而 L2TP 在高度受控的网络环境中往往表现挣扎。虽然 L2TP 在大多数操作系统上通常更容易进行原生配置，但对于需要高度适应性和“极强”安全框架的用户来说，OpenVPN 仍然是首选标准。
最终，WireGuard 的兴起标志着向现代优化的重大转变，它同时兼顾了速度和架构的简洁性。与日益陈旧的 L2TP/IPsec 标准相比，WireGuard 采用了复杂性显著降低的轻量级代码库，从而为移动用户带来了极快的速度和更高的电池效率。虽然 L2TP/IPsec 仍是一个安全且可靠的遗留选项，但 WireGuard 凭借其卓越的性能和尖端的加密强度，正迅速成为现代 VPN 服务的行业标杆。
技术常见问题解答 (FAQ)：第二层隧道协议 (L2TP)
Q: L2TP/IPsec 的具体端口要求是什么？
A： 标准的 L2TP/IPsec 实现需要开放三个特定端口：用于 IKE（互联网密钥交换）的 UDP 端口 500、用于 NAT 穿越（NAT Traversal）的 UDP 端口 4500，以及用于 L2TP 流量本身的 UDP 端口 1701。确保防火墙允许这些端口通过，对于成功建立隧道至关重要。
Q: 双重封装如何影响最大传输单元 (MTU)？
由于 L2TP/IPsec 会将数据封装在 L2TP 和 IPsec 报头中，这会给每个数据包增加显著的开销。这通常需要减小 MTU 大小（通常降至 1400 或 1280 字节）以防止数据包分片，否则可能导致性能下降或连接中断。
Q: L2TP 访问集中器 (LAC) 和 L2TP 网络服务器 (LNS) 的作用是什么？
LAC 是物理上终止来自用户的呼叫或连接并将流量隧道传输至 LNS 的设备。LNS 是 L2TP 会话的逻辑终止点，在此处 PPP 帧被解封装并进行处理，以实现对内部网络的访问。
Q: 为什么在安全审计中 L2TP 被视为一种“透明”协议？
在技术审计中，L2TP 被标记为“透明”，是因为它仅提供隧道结构，而不对有效载荷进行修改或保护。它严格负责会话层的移动。这就是为什么安全专业人士强制要求使用 IPsec，以提供 L2TP 所缺乏的加密层。
Q: L2TP 是否支持除 IP 以外的多协议流量？
是的。L2TP 显著的技术优势之一是它能够隧道传输各种协议，而不仅仅是 IP。由于它封装了 PPP 帧，因此可以传输 PPP 支持的任何协议，从而在遗留系统或特殊的企业网络环境中提供更大的灵活性。
