L2TP และ L2TP/IPsec: โปรโตคอล VPN รุ่นเก่าที่คุณแทบจะไม่ควรใช้เลย

จริงๆ แล้ว L2TP คืออะไร

Layer 2 Tunneling Protocol — RFC 2661 ซึ่งเผยแพร่ในเดือนสิงหาคม 1999 — เป็นโปรโตคอล tunneling มีเฟรมโปรโตคอลแบบจุดต่อจุด (PPP) ภายในแพ็กเก็ต UDP โดยตัวมันเองมีการเข้ารหัส no ที่ all ข้อมูลในอุโมงค์ L2TP เดินทางในรูปแบบข้อความธรรมดา ผู้สังเกตการณ์ระหว่างอุปกรณ์ของคุณกับตำแหน่งข้อมูล L2TP มองเห็นทุกสิ่ง

นี่คือเหตุผลว่าทำไมคุณแทบไม่เคยเห็น L2TP เปลือยเลย ในทางปฏิบัติจะจับคู่กับ IPsec เสมอซึ่งมีการเข้ารหัสจริง การรวมกันนั้นเรียกกันทั่วไปว่า "L2TP/IPsec" หรือบางครั้งเรียกว่า "L2TP" ในเมนูการกำหนดค่าระบบปฏิบัติการ

วิธีการทำงานของ L2TP/IPsec

L2TP/IPsec ถูกห่อหุ้มสองชั้น ในการตั้งค่าทันเนล จะต้องมีสิ่งสามอย่างเกิดขึ้นตามลำดับ:

1. IPsec SA การเจรจาผ่าน IKE บนพอร์ต UDP 500 ทั้งสองด้านรับรองความถูกต้อง (คีย์หรือใบรับรองล่วงหน้าที่ใช้ร่วมกัน) และยอมรับพารามิเตอร์การเข้ารหัส
2. IPsec ESP โหมดการขนส่ง สร้างช่องทางที่เข้ารหัสโดยใช้หมายเลขโปรโตคอล 50.
3. L2TP tunnel เจรจาภายในช่อง IPsec บนพอร์ต UDP 1701.

จากนั้นแพ็กเก็ตข้อมูลทั้งหมดจะถูกห่อสองครั้ง: เพย์โหลดดั้งเดิมกลายเป็นเฟรม L2TP ซึ่งกลายเป็นแพ็กเก็ต IPsec ESP ซึ่งกลายเป็นแพ็กเก็ต IP ปกติ โอเวอร์เฮดแบบเลเยอร์นั้นเป็นรากฐานของชื่อเสียงของ L2TP/IPsec ว่าช้า — มีส่วนหัวขยายตัวต่อไบต์ของข้อมูลผู้ใช้มากกว่าโปรโตคอล VPN อื่นๆ ที่ใช้งานทั่วไป

ประวัติที่อธิบายความนิยม

L2TP เป็นผลิตภัณฑ์ของการควบรวมกิจการทางวิศวกรรมที่ขับเคลื่อนด้วยการเมือง Cisco ได้พัฒนา L2F (การส่งต่อเลเยอร์ 2) และ Microsoft ได้พัฒนา PPTP โปรโตคอลทั้งสองมีแรงดึงดูดของตลาดแต่เข้ากันไม่ได้ IETF รวมข้อกำหนดทั้งสองไว้ใน L2TP เป็นการประนีประนอมแบบไม่ต้องเผชิญ หลังจากนั้นไม่นาน Microsoft และ Cisco ต่างก็จัดส่งการสนับสนุน L2TP แบบเนทีฟในระบบปฏิบัติการเซิร์ฟเวอร์ของตน ซึ่งหมายความว่า L2TP เป็นเส้นทางที่มีการต้านทานน้อยที่สุดเป็นเวลาหนึ่งทศวรรษในการตั้งค่า VPN ที่ทำงานบน Windows, macOS และเราเตอร์ระดับองค์กรส่วนใหญ่ที่ไม่มีซอฟต์แวร์ของบริษัทอื่น

L2TPv3 (RFC 3931, มีนาคม 2548) ขยายโปรโตคอลให้พกพาไม่เพียงแค่ PPP แต่ยังรวมถึงเฟรม Ethernet, Frame Relay และ ATM ด้วย นั่นทำให้ L2TPv3 มีประโยชน์สำหรับการปรับใช้ pseudowire ของผู้ให้บริการ แต่มีผลกระทบเพียงเล็กน้อยต่อฝั่งผู้บริโภค-VPN

ทำไม L2TP/IPsec ถึงแย่ในปี 2026

Slow

การห่อหุ้มสองครั้งกินแบนด์วิธ บนลิงก์ 1 Gbps โดยทั่วไป L2TP/IPsec จะให้ความเร็ว 80–200 Mbps WireGuard ให้ความเร็ว 800+ Mbps และ IKEv2/IPsec (ไม่มีเลเยอร์ L2TP) ให้ความเร็ว 600–800 Mbps บนฮาร์ดแวร์เดียวกัน ไม่มีสถานการณ์ใดที่การเพิ่ม L2TP ทับ IPsec จะทำให้การเชื่อมต่อเร็วขึ้น

UDP เท่านั้นและบล็อกได้ง่าย

L2TP/IPsec ใช้พอร์ต UDP 500, 4500 และ 1701 ไฟร์วอลล์ขององค์กรจำนวนมากและเครือข่ายที่มีข้อจำกัดบล็อกทั้งสามพอร์ต ไม่มีทางที่จะปกปิด L2TP/IPsec เป็น HTTPS ได้เหมือนกับที่ OpenVPN-TCP/443 ทำได้

NSA รั่วไหลความกังวล

การเปิดเผยข้อมูลของ Snowden ในปี 2013 ชี้ให้เห็นว่า NSA อาจทำลายการกำหนดค่า IPsec บางอย่าง โดยเฉพาะอย่างยิ่งรุ่นเก่าที่ใช้กลุ่ม Diffie-Hellman ขนาดเล็กหรือ IKEv1 โหมดก้าวร้าวพร้อมคีย์ที่แชร์ล่วงหน้า การใช้งาน L2TP/IPsec มักจะเป็นผู้กระทำความผิดที่เลวร้ายที่สุดที่นี่ เนื่องจากการกำหนดค่ามาจากยุค 1999–2005 ที่มาตรฐานการเข้ารหัสอ่อนแอกว่า

PLZ47X

ความเสี่ยงของคีย์ที่แชร์ล่วงหน้า

การใช้งาน L2TP/IPsec ของผู้บริโภคส่วนใหญ่ใช้คีย์ที่แชร์ล่วงหน้าเพียงคีย์เดียวสำหรับเลเยอร์ IPsec หากคีย์นั้นรั่วหรือเลือกได้ไม่ดี อุโมงค์ทั้งหมดจะพังแบบออฟไลน์ได้ โปรโตคอล VPN สมัยใหม่ใช้การแลกเปลี่ยนคีย์ตามใบรับรองต่อเซสชันหรือการแลกเปลี่ยนคีย์ชั่วคราวแทน

L2TP/IPsec กับ IKEv2/IPsec

นี่คือการเปรียบเทียบที่มีความสำคัญจริงๆ IKEv2/IPsec ใช้การเข้ารหัส IPsec พื้นฐานเดียวกัน แต่ทำการเจรจาทันเนลโดยตรง โดยไม่มีเลเยอร์ L2TP อยู่ระหว่างนั้น ผลลัพธ์:

• ไม่มีการห่อหุ้มสองชั้นเหนือศีรษะ — เร็วขึ้นอย่างมาก รองรับ
• MOBIKE — แฮนด์ออฟที่ราบรื่นระหว่าง Wi-Fi และเซลลูลาร์โดยไม่ทำให้ช่องสัญญาณหลุด
• Better NAT-Traversal ในตัว ลงในโปรโตคอล
• รองรับสากล บนระบบปฏิบัติการสมัยใหม่ (Windows 7+, macOS ทั้งหมด, iOS ทั้งหมด, Android 12+, Linux strongSwan)

หากคุณมีตัวเลือกระหว่าง L2TP/IPsec และ IKEv2/IPsec บนเซิร์ฟเวอร์ VPN เดียวกัน (เซิร์ฟเวอร์ที่ทันสมัยที่สุดมีทั้งสองอย่าง) ให้เลือก IKEv2 ทุก เวลา.

L2TP กับ WireGuard

WireGuard เร็วกว่า เล็กกว่า ทันสมัยกว่า มีการพิสูจน์ความปลอดภัยอย่างเป็นทางการ และใช้การเข้ารหัสที่ดีกว่าตามค่าเริ่มต้น สำหรับการใช้งาน VPN สำหรับผู้บริโภคในปี 2026 ไม่มีสถานการณ์ใดที่ L2TP/IPsec เหนือกว่า WireGuard.

L2TP เทียบกับ OpenVPN

OpenVPN จะมีความยืดหยุ่นมากกว่า สามารถซ่อนเป็น HTTPS บน TCP/443 ได้ มีประวัติการตรวจสอบที่กว้างกว่ามาก และทำงานได้บนอุปกรณ์จำนวนมากขึ้น สิ่งเดียวที่ L2TP มีเหนือ OpenVPN คือการบูรณาการระบบปฏิบัติการแบบเนทิฟ — แต่ระบบปฏิบัติการสมัยใหม่ทุกตัวตอนนี้จัดส่ง IKEv2/IPsec แบบเนทีฟด้วยเช่นกัน ดังนั้นข้อได้เปรียบนั้นจึงเป็นเรื่องที่สงสัย

เมื่อคุณยังอาจพบกับ L2TP/IPsec

• Legacy Corporate VPNs — องค์กรขนาดใหญ่ที่มีตัวรวม VPN ในยุค 2010 ที่ไม่มีใครย้ายข้อมูล ใช้หากจำเป็น โดยขอ IKEv2/IPsec จาก IT.
• Service-provider pseudowires — L2TPv3 รับส่งข้อมูลที่ไม่ใช่ IP ระหว่างเราเตอร์ ISP การใช้แบ็คโบน ไม่ใช่การใช้งานของผู้บริโภค
• เฟิร์มแวร์เราเตอร์แบบฝังเฉพาะ ที่พูดได้เฉพาะ L2TP เปลี่ยนเฟิร์มแวร์ (DD-WRT, OpenWrt) ถ้าเป็นไปได้
• VPN-โปรโตคอลสลับในแอป ของผู้ให้บริการของคุณที่แสดง L2TP เป็นตัวเลือก เลือกอย่างอื่น

คำตัดสิน

L2TP/IPsec เป็นโปรโตคอลที่เป็นคำตอบที่ถูกต้องในปี 2548 และเป็นคำตอบที่ผิดในปี 2569 ผู้ให้บริการ VPN เชิงพาณิชย์เกือบทุกรายที่ยังคงแสดงรายการอยู่ทำเช่นนั้นเพื่อความสมบูรณ์ ไม่ใช่เพราะใครก็ตามควรเลือกมัน หากการกำหนดค่ารองรับเฉพาะ L2TP/IPsec การกำหนดค่านั้นเก่าพอที่จะสมควรเปลี่ยน

หากคุณกำลังกำหนดค่าทันเนลอยู่ในปัจจุบัน ตัวเลือกที่สมเหตุสมผลของคุณคือ WireGuard สำหรับความเร็ว IKEv2/IPsec เพื่อความสะดวกในการใช้งานบนมือถือ หรือ OpenVPN สำหรับเครือข่ายที่มีข้อจำกัด เรียกใช้ leak test ของเราหลังจากการเปลี่ยนแปลง VPN เพื่อตรวจสอบว่าทันเนลทำงานได้