Cách hoạt động: tunnel kép cũ
Chuẩn hóa năm 1999, nó bọc PPP vào UDP theo chuỗi PPP → L2TP → UDP → IPsec ESP → IP. L2TP tạo tunnel logic; IPsec cung cấp mã hóa, toàn vẹn, xác thực. Xếp lớp thêm khoảng 80–130 byte mỗi gói, độ trễ và CPU, nhất là trên router, điện thoại.
Cổng sử dụng
- UDP 1701 cho L2TP;
- UDP 500 cho IKE;
- UDP 4500 cho NAT-T.
Dấu hiệu rõ giúp mạng doanh nghiệp, Wi-Fi lọc hoặc NAT đối xứng chặn dễ.
Bảo mật phụ thuộc IPsec
ESP tunnel mã hóa và bảo vệ toàn vẹn; xác thực thường dùng PSK hoặc X.509.
Vấn đề khóa dùng chung
Một số dịch vụ cấp cùng PSK cho hàng nghìn người. Khóa yếu, tĩnh hoặc bị lộ không còn chứng minh danh tính và hỗ trợ tấn công quy mô lớn. Chứng chỉ riêng mạnh hơn nhưng cần PKI, cấp, gia hạn, thu hồi nên hiếm ở người dùng phổ thông. Điểm yếu nằm ở mô hình triển khai, không phải AES hay ESP.
Giới hạn kỹ thuật
Hiệu năng
Đóng gói kép giảm MTU hữu ích, tăng xử lý; L2TP/IPsec thường chậm, trễ và tái kết nối kém IKEv2, WireGuard.
NAT và mạng hạn chế
ESP cần UDP 4500 để qua NAT; một số firewall, captive portal, router nghiêm ngặt chặn hoặc sửa lưu lượng. Không có ngụy trang gốc.
Vận hành phức tạp
Phải phối hợp IKE, IPsec, PPP, MTU, nhiều cổng và xác thực. Mỗi lớp thêm nguy cơ chấp nhận thuật toán cũ hoặc chính sách mâu thuẫn.
Vì sao dịch vụ vẫn cung cấp?
| Lý do | Giải thích |
|---|---|
| Tương thích gốc | Chạy không cần ứng dụng trên một số hệ cũ. |
| Hạ tầng cũ | Thiết bị và chính sách IPsec vẫn hoạt động. |
| Danh mục tiếp thị | Nhiều giao thức trông hấp dẫn dù không cải thiện dịch vụ. |
| Thiết bị chuyên dụng | Một số tổ chức chưa thể di chuyển ngay. |
Giữ làm phương án khẩn cấp không phải lỗi; giới thiệu là hiện đại hay khuyến nghị là dấu hiệu đánh giá kỹ thuật kém.
Trường hợp còn chấp nhận
Chỉ chấp nhận nếu thiết bị chỉ có L2TP/IPsec, không cài được ứng dụng, dùng chứng chỉ/chính sách mới và đã có kế hoạch chuyển. Không nên dùng cho riêng tư hằng ngày, thiết bị đổi mạng, kiểm duyệt/DPI, game/video nhạy trễ hoặc hệ thống mới.
Phương án hiện đại
| Tiêu chí | L2TP/IPsec | IKEv2/IPsec | WireGuard | OpenVPN |
|---|---|---|---|---|
| Tốc độ | Thấp đến vừa | Cao | Rất cao | Vừa |
| Di chuyển | Kém | Rất tốt | Rất tốt | Vừa |
| NAT | Mong manh | Tốt hơn | Rất tốt | Rất tốt |
| Phức tạp | Cao | Vừa | Thấp | Vừa |
| Nhu cầu | Tương thích cũ | Di động, tích hợp | Hằng ngày | Tương thích, mạng hạn chế |
Quan điểm của chúng tôi
Không khuyến nghị L2TP/IPsec cho nhu cầu hiện tại. Lý do duy nhất là ràng buộc cũ chưa thể chuyển. Dịch vụ nghiêm túc phải có WireGuard, IKEv2 hoặc OpenVPN và hướng dẫn đúng.
Kết luận
L2TP/IPsec vẫn có thể mã hóa đúng với chứng chỉ, thuật toán mới nhưng không trở thành lựa chọn tốt. Kiến trúc kép, PSK chung, NAT mong manh và hiệu năng giải thích vì sao nó bị thay. Xem WireGuard, IKEv2, IPsec, OpenVPN và PPTP.