Как настроить L2TP VPN: пошаговые инструкции для Windows, Linux и MikroTik

Что такое L2TP/IPsec и зачем он нужен

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования второго уровня, который сам по себе не обеспечивает шифрование. Он создает туннель, в котором передаются пакеты сетевого уровня в кадрах PPP. Для защиты данных L2TP почти всегда используется в связке с IPsec, который обеспечивает шифрование, аутентификацию и проверку целостности передаваемых данных.

Такая связка популярна благодаря встроенной поддержке в большинстве операционных систем: Windows, macOS, Linux, Android и iOS имеют встроенные клиенты L2TP/IPsec, что избавляет от необходимости устанавливать дополнительное программное обеспечение. Это делает L2TP/IPsec удобным выбором для корпоративных VPN-подключений, когда нужно быстро предоставить удаленный доступ сотрудникам к внутренним ресурсам компании.

Однако у L2TP есть и ограничения. Протокол использует слабое шифрование, поэтому без IPsec он не подходит для передачи чувствительных данных. Кроме того, IPsec может значительно снижать пропускную способность маршрутизатора, особенно на старом оборудовании. В современных реалиях L2TP/IPsec часто уступает более новым протоколам, таким как WireGuard или IKEv2, но остается востребованным из-за совместимости и простоты настройки.

Подготовка к настройке: что нужно знать заранее

Перед началом настройки L2TP VPN необходимо собрать следующие данные:

• IP-адрес или доменное имя VPN-сервера — адрес, по которому клиент будет подключаться к серверу. Это может быть публичный IP-адрес или DNS-имя.
• Логин и пароль VPN-пользователя — учетные данные, которые выдаются администратором. В корпоративных сетях это часто доменные учетные записи.
• Общий ключ шифрования (Pre-shared key) — секретная фраза, используемая для аутентификации IPsec. Ключ должен совпадать на сервере и клиенте.

Эти данные обычно предоставляет системный администратор или контактное лицо в компании. Если вы настраиваете VPN самостоятельно, убедитесь, что сервер настроен правильно и доступен из интернета.

Также важно определить версию операционной системы на клиентском устройстве, так как процедура настройки может отличаться. В Windows можно узнать версию, нажав комбинацию клавиш Win+R и введя команду winver.

Настройка L2TP VPN в Windows 10

В Windows 10 настройка L2TP VPN выполняется через встроенные параметры системы. Вот пошаговая инструкция:

1. Нажмите правой кнопкой мыши на кнопку «Пуск» и выберите «Параметры».
2. Перейдите в раздел «Сеть и Интернет», затем выберите «VPN» в левом меню.
3. Нажмите кнопку «Добавить VPN-подключение».
4. В открывшемся окне заполните поля:

• Поставщик услуг VPN — выберите «Windows (встроенные)».
• Имя подключения — любое понятное название, например «Рабочая VPN».
• Адрес или имя сервера — IP-адрес или доменное имя VPN-сервера.
• Тип VPN — выберите «L2TP/IPsec с предварительным ключом».
• Общий ключ — введите общий ключ шифрования.
• Тип данных для входа — выберите «Имя пользователя и пароль».
• Имя пользователя — логин VPN-пользователя.
• Пароль — пароль VPN-пользователя.

1. Нажмите «Сохранить».

После сохранения подключение появится в списке VPN. Чтобы подключиться, нажмите на значок сети в правом нижнем углу экрана, выберите созданное подключение и нажмите «Подключить». Статус «Подключено» означает успешное соединение.

Если администратор указал, что необходимо отключить «Шлюз в удаленной сети», это можно сделать в свойствах адаптера (см. раздел ниже).

Настройка L2TP VPN в Windows 7 и 8.1

В Windows 7 и 8.1 процесс настройки немного отличается и требует использования панели управления. Инструкция:

1. Нажмите Win+R, введите control и нажмите Enter, чтобы открыть панель управления.
2. Перейдите в «Центр управления сетями и общим доступом» (Сеть и Интернет → Центр управления сетями и общим доступом).
3. Выберите «Создание и настройка нового подключения или сети».
4. В мастере выберите «Подключение к рабочему месту» и нажмите «Далее».
5. Выберите «Использовать мое подключение к Интернету (VPN)».
6. В поле «Адрес в Интернете» укажите IP-адрес или доменное имя VPN-сервера.
7. В поле «Имя объекта назначения» введите название подключения (например, «VPN офис»).
8. Нажмите «Создать».

После создания подключения необходимо настроить его свойства:

1. Откройте «Центр управления сетями и общим доступом» → «Изменение параметров адаптера».
2. Найдите созданное VPN-подключение, нажмите на него правой кнопкой мыши и выберите «Свойства».
3. Перейдите на вкладку «Безопасность».
4. В поле «Тип VPN» выберите «Протокол L2TP с IPsec (L2TP/IPsec)».
5. В разделе «Шифрование данных» выберите «Обязательное шифрование (отключиться, если нет шифрования)».
6. В разделе «Проверка подлинности» отметьте «Разрешить следующие протоколы» и выберите «Протокол Microsoft CHAP версии 2 (MS-CHAP v2)».
7. Нажмите «Дополнительные параметры» и отметьте «Для проверки подлинности использовать общий ключ», затем введите ключ.
8. Нажмите «ОК» во всех окнах.

Теперь можно подключаться через значок сети в трее, выбрав созданное подключение.

Как отключить шлюз в удаленной сети

Иногда при подключении к VPN необходимо, чтобы весь интернет-трафик не шел через VPN-сервер, а использовался локальный шлюз. Это называется «раздельное туннелирование» (split tunneling). В Windows для этого нужно отключить опцию «Использовать основной шлюз в удаленной сети».

Инструкция для Windows 7/8/10:

1. Откройте панель управления (Win+R → control).
2. Перейдите в «Центр управления сетями и общим доступом» → «Изменение параметров адаптера».
3. Найдите ваше VPN-подключение, нажмите правой кнопкой мыши и выберите «Свойства».
4. Перейдите на вкладку «Сеть».
5. Выделите компонент «IP версии 4 (TCP/IPv4)» и нажмите «Свойства».
6. Нажмите «Дополнительно».
7. Снимите галочку с пункта «Использовать основной шлюз в удаленной сети».
8. Нажмите «ОК» во всех открытых окнах.

После этого трафик к локальной сети будет идти через ваш обычный шлюз, а доступ к удаленным ресурсам — через VPN. Это может быть полезно для экономии трафика или если VPN-сервер не предназначен для проксирования всего интернета.

Настройка L2TP VPN на Linux (Ubuntu)

В Linux, в частности в Ubuntu, настройка L2TP VPN выполняется через Network Manager. Для этого необходимо установить специальный плагин. Откройте терминал и выполните команды:

sudo apt update
sudo apt install -y network-manager-l2tp network-manager-l2tp-gnome

После установки плагина выполните следующие шаги:

1. Откройте «Настройки» → «Сеть».
2. В разделе VPN нажмите «+» для добавления нового соединения.
3. Выберите тип «Туннельный протокол второго уровня (L2TP)».
4. На вкладке «Идентификация» укажите:

• Имя соединения — произвольное название.
• Адрес VPN-сервера — IP-адрес или доменное имя.
• Имя пользователя и Пароль — учетные данные.

1. Нажмите кнопку «Параметры IPsec».
2. В открывшемся окне отметьте «Включить IPsec-туннель к L2TP-хосту».
3. Введите общий ключ (Pre-shared key) в соответствующее поле.
4. При необходимости настройте параметры IKE (обычно оставляют по умолчанию).
5. Нажмите «Применить».
6. Нажмите кнопку «Параметры PPP».
7. В разделе методов аутентификации разрешите PAP (или MSCHAPv2, если сервер поддерживает). Остальные методы можно отключить.
8. Нажмите «Применить» и затем «Применить» в основном окне.

Теперь созданное соединение появится в списке VPN. Для подключения нажмите на переключатель рядом с ним. После успешного подключения появится ppp-адаптер, и вы сможете обращаться к ресурсам удаленной сети.

Настройка L2TP/IPsec на MikroTik для объединения офисов

MikroTik — популярное сетевое оборудование для построения VPN-соединений между офисами (site-to-site). Рассмотрим настройку на примере двух маршрутизаторов: R1 (L2TP-сервер) и R2 (L2TP-клиент).

Настройка L2TP-сервера на R1:

1. Включите L2TP-сервер и настройте аутентификацию MS-CHAPv2. В командной строке:

/interface/l2tp-server/server set authentication=mschap2 enabled=yes IPsec-secret=IPsec_password use-IPsec=required

1. Создайте учетную запись для клиента:

/ppp/secret add local-address=172.16.1.1 name=office-2 password=office-2_password profile=default-encryption remote-address=172.16.1.2 service=l2tp

1. Создайте статический интерфейс L2TP-сервера (рекомендуется, чтобы интерфейс не исчезал после разрыва соединения):

/interface/l2tp-server add name="L2TP Server for office-2" user=office-2

Настройка L2TP-клиента на R2:

1. Создайте L2TP-интерфейс клиента:

/interface/l2tp-client add connect-to=100.64.111.1 disabled=no IPsec-secret=IPsec_password name="L2TP office-1 connection" password=office-2_password use-IPsec=yes user=office-2

Проверка соединения:

На обоих маршрутизаторах рядом с интерфейсом должен появиться флаг R (running). Проверить можно командой:

/interface/l2tp-server print

или

/interface/l2tp-client print

Маршрутизация:

Чтобы сети офисов видели друг друга, необходимо добавить маршруты. На R1 добавьте маршрут к сети офиса 2 (10.22.22.0/24) через VPN-интерфейс, а на R2 — к сети офиса 1 (10.11.11.0/24).

Важно: Для работы L2TP/IPsec необходимо разрешить в брандмауэре следующие порты и протоколы:

• UDP 1701 (L2TP)
• UDP 500 (ISAKMP)
• UDP 4500 (NAT-T)
• IPsec ESP (протокол 50)

Если соединение не устанавливается, проверьте правила брандмауэра и убедитесь, что они не блокируют трафик.

Типичные проблемы и способы их решения

При настройке L2TP VPN могут возникать различные проблемы. Рассмотрим наиболее частые:

1. Неверные учетные данные или ключ. Убедитесь, что логин, пароль и общий ключ IPsec введены точно и совпадают с серверными. Ошибка в одном символе приведет к сбою аутентификации.

2. Блокировка портов брандмауэром. Проверьте, что на сервере и клиенте разрешены UDP-порты 1701, 500, 4500 и протокол ESP. На MikroTik можно временно отключить все правила брандмауэра, чтобы проверить, в них ли дело.

3. Проблемы с IPsec из-за NAT. Если клиент находится за NAT, IPsec может не работать. В этом случае используется NAT-T (UDP 4500). Убедитесь, что NAT-T включен на сервере и клиенте.

4. Блокировка VPN провайдером или государственными органами. В некоторых странах, включая Россию, VPN-соединения могут блокироваться. Чаще всего блокируется именно IPsec. Если после отключения IPsec соединение устанавливается, значит проблема в блокировке. В таком случае рассмотрите использование других протоколов (IKEv2, WireGuard).

5. Ошибка 809 в Windows. Эта ошибка часто возникает из-за неправильных настроек IPsec или несовпадения ключей. Попробуйте изменить тип VPN на «Автоматически» или вручную указать L2TP/IPsec.

6. Проблемы с MTU. Неправильный MTU может вызывать медленную работу или обрывы. Обычно для L2TP используется MTU 1400-1450. Настройте MTU на VPN-интерфейсе.

Если проблема не решается, проверьте журналы событий на сервере и клиенте — они часто содержат подсказки о причине ошибки.

Сравнение L2TP/IPsec с другими VPN-протоколами

L2TP/IPsec — не единственный протокол VPN. Рассмотрим его место среди альтернатив:

• PPTP — устаревший протокол, крайне небезопасен, не рекомендуется к использованию.
• OpenVPN — открытый протокол, обеспечивает высокую безопасность и гибкость настройки. Требует установки клиентского ПО.
• IKEv2 — современный протокол, хорошо работает на мобильных устройствах, быстро переподключается при смене сети. Встроен в Windows, macOS, iOS, Android.
• WireGuard — новый протокол, отличается высокой производительностью и простотой. Требует установки клиента.

Преимущества L2TP/IPsec:

• Встроенная поддержка в большинстве ОС без установки дополнительного ПО.
• Хорошая совместимость с корпоративными сетями.
• Поддержка аутентификации через RADIUS и Active Directory.

Недостатки:

• Более низкая производительность по сравнению с WireGuard и IKEv2.
• Потенциальные проблемы с NAT и блокировками.
• Сложность настройки на серверной стороне.

Выбор протокола зависит от конкретных задач: если нужна максимальная совместимость и простота клиента — L2TP/IPsec подойдет; если важна скорость и современная криптография — лучше рассмотреть WireGuard или IKEv2.

Рекомендации по безопасности при использовании L2TP VPN

Хотя L2TP/IPsec считается достаточно безопасным, важно соблюдать ряд рекомендаций:

• Используйте надежные общие ключи. Ключ должен быть длинным и случайным, не используйте словарные фразы.
• Ограничьте доступ по IP-адресам. Настройте сервер так, чтобы принимать подключения только с известных IP-адресов, если это возможно.
• Используйте сильные пароли для учетных записей. Пароли должны быть сложными и уникальными.
• Регулярно обновляйте прошивку и ПО. Уязвимости в реализации L2TP/IPsec могут быть исправлены в обновлениях.
• Включайте шифрование данных. Убедитесь, что IPsec включен и используется принудительно (use-IPsec=required на MikroTik).
• Не используйте L2TP без IPsec. Сам по себе L2TP не шифрует трафик, поэтому его использование без IPsec небезопасно.
• Мониторьте журналы. Регулярно проверяйте журналы подключений на предмет подозрительной активности.

Следуя этим рекомендациям, вы сможете обеспечить достаточный уровень безопасности для корпоративных коммуникаций.

Вопросы и ответы