Как установить L2TP на Linux: пошаговая инструкция по настройке VPN-сервера

Протокол L2TP (Layer 2 Tunneling Protocol) в связке с IPsec долгие годы оставался одним из самых популярных решений для создания VPN-туннелей. Он встроен во все современные операционные системы — Windows, macOS, Android, iOS — и не требует установки дополнительного ПО. Но так ли хорош L2TP сегодня? В этой статье мы подробно разберём, как установить L2TP на Linux (на примере Ubuntu и Debian), настроить xl2tpd и IPsec, а также честно расскажем о его ограничениях и о том, какая технология пришла ему на смену.

"L2TP — это надёжный протокол, но он безнадёжно устарел. Современные DPI-системы легко его обнаруживают и блокируют. Если вам нужна действительно надёжная защита — смотрите в сторону XHTTP + Reality на личном VPS."

Что такое L2TP и как он работает

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования, разработанный совместно Cisco и Microsoft как замена устаревшему PPTP. В отличие от PPTP, L2TP сам по себе не обеспечивает шифрования — он лишь создаёт туннель для передачи данных. Именно поэтому L2TP почти всегда используется в связке с IPsec (Internet Protocol Security), который отвечает за шифрование и аутентификацию.

Связка L2TP/IPsec работает следующим образом:

1. IPsec устанавливает защищённый канал между клиентом и сервером (режим ESP).
2. L2TP поверх этого канала создаёт туннель для передачи PPP-кадров.
3. PPP обеспечивает аутентификацию пользователя (логин/пароль).

Подготовка VPS: что нужно для установки

Для установки L2TP-сервера на Linux вам понадобится:

• VPS (Virtual Private Server) с установленной ОС Ubuntu 20.04/22.04 или Debian 11/12.
• Root-доступ (или пользователь с правами sudo).
• Открытые порты в брандмауэре: UDP 500 (IKE), UDP 4500 (IPsec NAT-T), UDP 1701 (L2TP).
• Статический публичный IP-адрес (или домен, указывающий на ваш VPS).

sudo apt update && sudo apt upgrade -y

Установка xl2tpd

xl2tpd — это открытая реализация L2TP-демона для Linux. Установим его:

sudo apt install xl2tpd -y

После установки xl2tpd будет автоматически запущен. Проверить статус можно командой:

sudo systemctl status xl2tpd

Установка и настройка IPsec (Libreswan)

Для обеспечения шифрования нам понадобится реализация IPsec. Мы будем использовать Libreswan — современный форк Openswan.

sudo apt install libreswan -y

Теперь настроим IPsec. Отредактируем конфигурационный файл /etc/ipsec.conf:

sudo nano /etc/ipsec.conf

config setup
    logfile=/var/log/pluto.log
    logtime=yes

conn L2TP-IPsec
    auto=add
    left=%defaultroute
    leftid=YOUR_SERVER_IP
    leftcert=
    leftsendcert=never
    right=%any
    rightid=%any
    rightsubnet=vhost:%priv,%no
    rightaddresspool=192.168.42.10-192.168.42.250
    authby=secret
    pfs=no
    rekey=no
    type=transport
    dpddelay=10
    dpdtimeout=30
    dpdaction=clear
    ike=aes256-sha2_512-modp2048!
    phase2alg=aes256-sha2_512!
    ikelifetime=8h
    lifetime=1h

Теперь зададим предварительный общий ключ (PSK) для аутентификации. Отредактируем файл /etc/ipsec.secrets:

sudo nano /etc/ipsec.secrets

YOUR_SERVER_IP %any : PSK "your_strong_psk"

sudo systemctl restart ipsec

Настройка xl2tpd

Теперь настроим сам L2TP-демон. Основной конфигурационный файл — /etc/xl2tpd/xl2tpd.conf:

sudo nano /etc/xl2tpd/xl2tpd.conf

[global]
port = 1701
access control = no
auth file = /etc/xl2tpd/xl2tpd-secrets

[lns default]
ip range = 192.168.42.10-192.168.42.250
local ip = YOUR_SERVER_IP
refuse pap = yes
refuse chap = yes
require authentication = yes
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes

Теперь создадим файл параметров PPP /etc/ppp/options.xl2tpd:

sudo nano /etc/ppp/options.xl2tpd

require-mschap-v2
ms-dns 8.8.8.8
ms-dns 1.1.1.1
asyncmap 0
auth
crtscts
lock
hide-password
modem
debug
name l2tpd
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4

Создание пользователей

Для аутентификации клиентов создадим учётные записи в файле /etc/ppp/chap-secrets:

sudo nano /etc/ppp/chap-secrets

# клиент    сервер    пароль    IP-адрес
username    l2tpd     password   *

alice       l2tpd     alice123   *
bob         l2tpd     bob456     *

После создания пользователей перезапустите xl2tpd:

sudo systemctl restart xl2tpd

Настройка брандмауэра и маршрутизации

Чтобы клиенты могли подключаться и выходить в интернет, нужно открыть порты и включить IP-форвардинг.

sudo ufw allow 500/udp
sudo ufw allow 4500/udp
sudo ufw allow 1701/udp
sudo ufw enable

sudo nano /etc/sysctl.conf

net.ipv4.ip_forward = 1

sudo sysctl -p

sudo iptables -t nat -A POSTROUTING -s 192.168.42.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -s 192.168.42.0/24 -j ACCEPT

sudo apt install iptables-persistent -y
sudo netfilter-persistent save

Подключение клиента

После всех настроек ваш L2TP/IPsec VPN-сервер готов к работе. Для подключения используйте:

• Сервер: публичный IP вашего VPS
• Тип VPN: L2TP/IPsec с предварительным ключом (PSK)
• PSK: тот, который вы указали в ipsec.secrets
• Имя пользователя и пароль: из chap-secrets

Почему L2TP устарел: проблемы и ограничения

Несмотря на то, что мы только что настроили L2TP-сервер, нужно честно сказать: этот протокол безнадёжно устарел. Вот основные причины:

• Уязвимость к DPI — современные системы глубокого анализа пакетов легко детектируют L2TP/IPsec по характерным сигнатурам (ESP-пакеты, специфические порты). В странах с жёсткой интернет-цензурой (Россия, Китай, Иран) L2TP блокируется практически мгновенно.
• Проблемы с NAT — L2TP/IPsec требует проброса портов и часто не работает за корпоративными фаерволами.
• Низкая скорость — двойная инкапсуляция создаёт значительный оверхед, что снижает пропускную способность.
• Отсутствие маскировки — трафик выглядит как VPN, его легко заблокировать по характерным признакам.

"L2TP был хорош в 2000-х, но сегодня он — как допотопный телефон в эпоху смартфонов. Он работает, но есть решения в сотни раз эффективнее."

Современная альтернатива — XHTTP + Reality на личном VPS

Если вы хотите, чтобы ваш VPN действительно работал и его было в 1000 раз сложнее заблокировать, вам нужна технология XHTTP + Reality. Это не просто протокол — это система маскировки, которая делает ваш трафик неотличимым от обычного HTTPS-сёрфинга.

Сравнение L2TP/IPsec и XHTTP + Reality

Заключение

Мы подробно разобрали, как установить L2TP на Linux — от установки xl2tpd и Libreswan до настройки брандмауэра и подключения клиентов. Эта инструкция полностью рабочая, и вы можете использовать L2TP, если вам нужно быстрое и простое решение для базовых задач.

Но если вы хотите реальную защиту, которая не будет заблокирована DPI, если вам нужен стабильный и быстрый доступ к интернету из любой точки мира — выбирайте личный VPN на VPS с технологией XHTTP + Reality.