Настройка L2TP/IPsec VPN-сервера: полное руководство для Windows, Linux и MikroTik

Что такое L2TP/IPsec и зачем он нужен

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования второго уровня, который сам по себе не обеспечивает шифрование и аутентификацию. Он создает логический туннель, по которому передаются кадры PPP (Point-to-Point Protocol). Для защиты данных L2TP обычно комбинируют с IPsec — набором протоколов, обеспечивающих шифрование, аутентификацию и проверку целостности.

Такая связка позволяет организовать удаленный доступ к корпоративной сети (Remote Access VPN) или объединить несколько офисов (Site-to-Site VPN). L2TP/IPsec поддерживается большинством операционных систем и сетевых устройств, что делает его удобным выбором для совместимости. Однако важно понимать: использование IPsec может снижать пропускную способность маршрутизатора, особенно на слабом оборудовании.

В отличие от более современных протоколов, таких как WireGuard или IKEv2, L2TP/IPsec (IKEv1) считается устаревшим, но до сих пор широко применяется в корпоративной среде из-за встроенной поддержки в Windows, macOS, Linux и многих маршрутизаторах.

Подготовка к настройке: что нужно знать заранее

Перед началом настройки L2TP/IPsec VPN-сервера необходимо собрать следующие данные:

IP-адрес или доменное имя VPN-сервера (публичный «белый» адрес, если сервер доступен из интернета);
логин и пароль VPN-пользователя;
общий ключ шифрования (Pre-shared key), который будет использоваться для IPsec-аутентификации.

Эти данные обычно предоставляются администратором или контактным лицом в компании. Если вы настраиваете сервер самостоятельно, вам потребуется создать учетные записи пользователей и задать общий ключ.

Также важно определить версию операционной системы на клиентских компьютерах. В Windows это можно сделать, нажав Win+R и введя команду winver. В зависимости от версии Windows (7, 8.1, 10, 11) интерфейс настройки VPN будет отличаться, хотя основные параметры остаются одинаковыми.

Для серверной части, если вы используете межсетевой экран (например, UserGate NGFW) или маршрутизатор MikroTik, потребуется доступ к веб-консоли или командной строке устройства.

Настройка L2TP/IPsec VPN-сервера на MikroTik (RouterOS)

Рассмотрим настройку L2TP/IPsec на примере MikroTik RouterOS 7.x. В качестве схемы возьмем объединение двух офисов: R1 (головной офис) — L2TP-сервер, R2 (филиал) — L2TP-клиент.

Шаг 1. Базовая настройка интерфейсов и маршрутизации

На каждом маршрутизаторе должны быть настроены WAN- и LAN-интерфейсы, а также маршрут по умолчанию. Пример для R1:

/interface/ethernet/set [ find default-name=ether1 ] name=ether1-WAN1
/interface/ethernet/set [ find default-name=ether2 ] name=ether2-LAN
/ip/address/add address=100.64.111.1/24 interface=ether1-WAN1
/ip/address/add address=10.11.11.1/24 interface=ether2-LAN
/ip/route/add dst-address=0.0.0.0/0 gateway=100.64.111.254

Аналогично настраивается R2 со своими адресами.

Шаг 2. Настройка L2TP-сервера на R1

Включите L2TP-сервер, укажите метод аутентификации MS-CHAPv2 (наиболее безопасный для L2TP) и задайте общий ключ IPsec. Также обязательно включите принудительное использование IPsec (use-IPsec=required), чтобы без шифрования подключение было невозможно.

/interface/l2tp-server/server set authentication=mschap2 enabled=yes ipsec-secret=IPSec_password use-ipsec=required

Шаг 3. Создание учетной записи пользователя

Создайте запись для клиента (например, office-2) с указанием локального и удаленного адресов:

/ppp/secret add local-address=172.16.1.1 name=office-2 password=office-2_password profile=default-encryption remote-address=172.16.1.2 service=l2tp

Шаг 4. Создание статического L2TP-интерфейса

Рекомендуется создать статический интерфейс L2TP-сервера, чтобы он не исчезал после разрыва соединения и не нарушал правила firewall/NAT:

/interface/l2tp-server add name="L2TP Server for office-2" user=office-2

Шаг 5. Настройка L2TP-клиента на R2

На клиентском маршрутизаторе создайте L2TP-интерфейс, указав адрес сервера, учетные данные и общий ключ IPsec:

/interface/l2tp-client add connect-to=100.64.111.1 disabled=no ipsec-secret=IPSec_password name="L2TP office-1 connection" password=office-2_password use-ipsec=yes user=office-2

После этого соединение должно установиться. Проверить его можно командой /interface/l2tp-client print — у интерфейса должен появиться флаг R (running).

Настройка VPN-сервера на межсетевом экране (UserGate NGFW)

Если в качестве VPN-сервера используется межсетевой экран UserGate NGFW, процесс настройки включает несколько этапов. Рассмотрим пример Remote Access VPN с L2TP/IPsec (IKEv1).

Шаг 1. Разрешение сервисов VPN

В веб-консоли администратора перейдите в раздел «Сеть» → «Зоны» и отредактируйте зону Untrusted (или ту, из которой будут подключаться клиенты). Разрешите сервисы VPN и «Подключение конечных устройств».

Шаг 2. Создание зоны для VPN-подключений

Создайте отдельную зону, например, «VPN for remote access», в которую будут помещены все VPN-клиенты.

Шаг 3. Настройка аутентификации

Создайте профиль аутентификации, указав метод (например, LDAP/Active Directory) для проверки учетных данных пользователей.

Шаг 4. Создание профиля безопасности VPN

В профиле безопасности задайте:

версию IKE (в примере — IKEv1);
режим работы IKE (основной режим);
общий ключ (Pre-shared key), который будет использоваться для аутентификации клиентов.

Шаг 5. Создание VPN-интерфейса

Создайте туннельный интерфейс (например, tunnel1) со статическим IP-адресом (например, 172.30.250.1/24) и привяжите его к зоне VPN.

Шаг 6. Создание сети VPN

Определите диапазон IP-адресов, которые будут выдаваться клиентам (исключив адрес самого интерфейса), маску подсети, DNS-серверы и маршруты, передаваемые клиентам (например, подсеть офиса 192.168.1.0/24).

Шаг 7. Создание серверного правила VPN

В правиле укажите профиль безопасности, сеть VPN, профиль аутентификации, интерфейс, источники (зоны), пользователей и назначение (внешний IP-адрес сервера).

Шаг 8. Настройка NAT и межсетевого экрана

Для доступа VPN-клиентов к ресурсам сети создайте правило NAT из зоны VPN в нужные зоны, а также правило межсетевого экрана, разрешающее трафик (по умолчанию оно выключено, его нужно включить).

Настройка VPN-клиента в Windows 10/11

Встроенный клиент Windows позволяет быстро настроить подключение L2TP/IPsec.

Нажмите правой кнопкой мыши на «Пуск» и выберите «Параметры».
Перейдите в «Сеть и Интернет» → «VPN» → «Добавить VPN-подключение».
Заполните поля:

Поставщик услуг VPN: Windows (встроенные);
Имя подключения: любое понятное название;
Адрес или имя сервера: IP-адрес или доменное имя VPN-сервера;
Тип VPN: L2TP/IPsec с предварительным ключом;
Общий ключ: общий ключ шифрования;
Тип данных для входа: Имя пользователя и пароль;
Имя пользователя и пароль: учетные данные VPN-пользователя.

Нажмите «Сохранить».

Для подключения нажмите на значок сети в трее, выберите созданное подключение и нажмите «Подключить». Успешное подключение отображается надписью «Подключено».

Важно: в некоторых случаях может потребоваться изменить параметры безопасности. Для этого откройте «Свойства» подключения (через «Изменение параметров адаптера»), перейдите на вкладку «Безопасность» и:

выберите тип VPN «Протокол L2TP с IPsec (L2TP/IPsec)»;
в «Дополнительные параметры» укажите общий ключ;
для шифрования выберите «Обязательное»;
разрешите протоколы MS-CHAP v2 (или PAP, если сервер требует).

Также может понадобиться отключить «Использовать основной шлюз в удаленной сети», если маршрутизация должна остаться локальной.

Настройка VPN-клиента в Windows 7/8.1

В Windows 7 и 8.1 процесс настройки немного отличается.

Откройте Панель управления (Win+R → control).
Перейдите в «Центр управления сетями и общим доступом» → «Создание и настройка нового подключения или сети».
Выберите «Подключение к рабочему месту» → «Использовать мое подключение к Интернету (VPN)».
Укажите адрес сервера и имя подключения, нажмите «Создать».
Откройте свойства созданного подключения, перейдите на вкладку «Безопасность»:

Тип VPN: «Протокол L2TP с IPsec (L2TP/IPsec)»;
Шифрование данных: «Обязательное»;
Разрешить следующие протоколы: MS-CHAP v2.

Нажмите «Дополнительные параметры» и отметьте «Для проверки подлинности использовать общий ключ», введите ключ.

Подключение выполняется через значок сети в трее. После успешного соединения появится надпись «Подключено».

Настройка VPN-клиента в Linux (Ubuntu)

Для Linux (например, Ubuntu) потребуется установить плагин L2TP для Network Manager:

sudo apt update
sudo apt install -y network-manager-l2tp network-manager-l2tp-gnome

После установки:

Откройте «Настройки» → «Сеть» → раздел VPN, нажмите «+».
Выберите «Туннельный протокол второго уровня (L2TP)».
На вкладке «Идентификация» укажите имя соединения, адрес сервера, имя пользователя и пароль.
Нажмите «Параметры IPsec», поставьте флажок «Включить IPsec-туннель к L2TP-хосту», укажите общий ключ и параметры фаз (обычно оставляют по умолчанию).
В «Параметры PPP» разрешите метод аутентификации PAP (или MS-CHAPv2, если сервер поддерживает).
Сохраните настройки и включите соединение.

Проверить подключение можно командой ip a — должен появиться ppp-адаптер с адресом из диапазона VPN.

Маршрутизация и межсетевой экран: как настроить доступ к ресурсам

После установления L2TP/IPsec-туннеля необходимо настроить маршрутизацию, чтобы клиенты могли обращаться к ресурсам удаленной сети.

На MikroTik маршруты можно добавить вручную или через настройки L2TP-клиента. Например, на R2 (клиент) для доступа к сети офиса 10.11.11.0/24 через туннель:

/ip/route/add dst-address=10.11.11.0/24 gateway=172.16.1.1

На сервере R1 аналогично добавляется маршрут к сети филиала 10.22.22.0/24 через 172.16.1.2.

На UserGate NGFW маршруты передаются клиентам автоматически через настройки сети VPN (вкладка «Маршруты VPN»). Также необходимо настроить NAT и правила межсетевого экрана, разрешающие трафик из зоны VPN в нужные зоны.

Брандмауэр должен пропускать следующие порты и протоколы:

UDP 1701 (L2TP);
UDP 500 (ISAKMP для IPsec);
UDP 4500 (NAT-T для IPsec);
IPsec ESP (протокол 50).

Если соединение не устанавливается, временно отключите брандмауэр на обоих устройствах для диагностики. Если после этого соединение работает, добавьте соответствующие разрешающие правила.

Типичные ошибки и способы их устранения

При настройке L2TP/IPsec часто возникают следующие проблемы:

Неверный IP-адрес сервера — проверьте, что на клиенте указан правильный публичный адрес или доменное имя VPN-сервера.
Несовпадение учетных данных — для L2TP нужны имя пользователя и пароль, для IPsec — общий ключ. Убедитесь, что они совпадают на сервере и клиенте.
Блокировка брандмауэром — разрешите UDP-порты 1701, 500, 4500 и ESP. Порядок правил в брандмауэре имеет значение.
Проблемы с IPsec — если соединение устанавливается без IPsec, но не работает с ним, возможно, IPsec блокируется провайдером или государственными органами (в РФ Роскомнадзором). Попробуйте сменить порты или использовать другой протокол.
MTU проблемы — уменьшите MTU на туннельном интерфейсе (например, до 1400), чтобы избежать фрагментации пакетов.
Метод аутентификации — сервер может требовать MS-CHAPv2, а клиент настроен на PAP, или наоборот. Приведите их в соответствие.

Для диагностики на MikroTik используйте команды /log print и /ping через туннель. На Windows можно использовать ping и tracert для проверки доступности удаленных ресурсов.

Безопасность L2TP/IPsec: ограничения и рекомендации

L2TP/IPsec (IKEv1) считается устаревшим и менее безопасным по сравнению с современными протоколами, такими как IKEv2, WireGuard или OpenVPN. Основные недостатки:

IKEv1 имеет известные уязвимости (например, атаки на общий ключ);
L2TP не шифрует данные сам по себе, полагаясь на IPsec;
Использование общего ключа (Pre-shared key) упрощает атаки «человек посередине», если ключ скомпрометирован.

Тем не менее, при правильной настройке L2TP/IPsec обеспечивает приемлемый уровень безопасности для корпоративных сетей. Рекомендации:

Используйте длинные и сложные общие ключи (не менее 20 символов);
Применяйте MS-CHAPv2 или более надежные методы аутентификации (EAP-TLS, если возможно);
Ограничьте доступ к VPN-серверу по IP-адресам (firewall);
Регулярно обновляйте прошивки и операционные системы;
Рассмотрите переход на IKEv2 или WireGuard для новых проектов.

Также помните, что использование VPN не гарантирует полную анонимность и может быть ограничено законодательством страны.

Вопросы и ответы

Какие порты нужно открыть для L2TP/IPsec?

Для работы L2TP/IPsec необходимо открыть следующие порты и протоколы на межсетевом экране:

UDP 1701 — для L2TP;
UDP 500 — для ISAKMP (обмен ключами IKE);
UDP 4500 — для NAT-T (прохождение через NAT);
IPsec ESP (протокол 50).

Если используется IKEv2, также может потребоваться UDP 500 и 4500. Убедитесь, что правила брандмауэра разрешают входящие и исходящие соединения на этих портах.

Чем отличается L2TP/IPsec от OpenVPN?

L2TP/IPsec — это комбинация двух протоколов: L2TP создает туннель, а IPsec обеспечивает шифрование. Он встроен в большинство ОС, но считается устаревшим и менее гибким. OpenVPN — это современный протокол, работающий через SSL/TLS, поддерживает множество алгоритмов шифрования, легко обходит NAT и файрволы, но требует установки клиентского ПО. OpenVPN обычно более безопасен и производителен, особенно на слабых устройствах.

Почему не удается подключиться к L2TP/IPsec VPN из-за Роскомнадзора?

В России Роскомнадзор может блокировать VPN-протоколы, включая IPsec, особенно на основе IKEv1. Если соединение устанавливается без IPsec, но не работает с ним, вероятно, IPsec-трафик блокируется. Решения: использовать другие порты (например, 443), перейти на IKEv2 или WireGuard, либо использовать прокси-серверы. Однако обход блокировок может нарушать законодательство РФ.

Как настроить L2TP/IPsec на Windows 10, если нет встроенной поддержки?

В Windows 10 встроенная поддержка L2TP/IPsec есть, но иногда требуется изменить параметры реестра для работы через NAT. Если подключение не устанавливается, попробуйте:

Откройте редактор реестра (regedit).
Перейдите в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent.
Создайте параметр AssumeUDPEncapsulationContextOnSendRule (DWORD) со значением 2.
Перезагрузите компьютер.

Также убедитесь, что в свойствах VPN-подключения выбран тип L2TP/IPsec и указан общий ключ.

Можно ли использовать L2TP/IPsec для доступа в интернет?

Да, L2TP/IPsec можно использовать для доступа в интернет, если VPN-сервер настроен на маршрутизацию всего трафика клиента (все маршруты через туннель). Однако из-за двойной инкапсуляции (L2TP + IPsec) скорость может быть ниже, чем у других протоколов. Для обхода блокировок или анонимности лучше использовать WireGuard или OpenVPN.

Как проверить, работает ли L2TP/IPsec-туннель на MikroTik?

На MikroTik проверьте статус интерфейса командой /interface/l2tp-client print — у клиента и /interface/l2tp-server print — у сервера. Если у интерфейса есть флаг R (running), туннель активен. Также можно выполнить ping с одного маршрутизатора на другой через туннельный адрес (например, ping 172.16.1.2). Дополнительно проверьте логи: /log print where topics~"l2tp".