Mikä on L2TP (Layer 2 Tunneling Protocol)?

Miten L2TP toimii – perusteet

L2TP-tunnelointi lähtee liikkeelle siitä, että protokollan kahden päätepisteen, LAC:n (engl. L2TP Access Concentrator, L2TP-yhteyskeskitin) ja LNS:n (engl. L2TP Network Server, L2TP-verkkopalvelin) välille muodostetaan yhteys Internetissä. Kun tämä on saavutettu, PPP-linkkikerros otetaan käyttöön ja kapseloidaan, minkä jälkeen se siirretään verkon yli.

Loppukäyttäjä (sinä) aloittaa PPP-yhteyden Internet-palveluntarjoajan kanssa. Kun LAC hyväksyy yhteyden, PPP-linkki muodostetaan. Tämän jälkeen verkkotunnelissa osoitetaan vapaa paikka, ja pyyntö välitetään LNS:lle.

Viimeiseksi, kun yhteys on täysin todennettu ja hyväksytty, luodaan virtuaalinen PPP-liittymä. Tällä hetkellä linkkikehyksiä voidaan vapaasti siirtää tunnelin läpi. LNS hyväksyy kehykset, jolloin se poistaa L2TP-kapseloinnin ja jatkaa niiden käsittelyä tavallisina kehyksinä.

Joitakin teknisiä yksityiskohtia L2TP-protokollasta

• L2TP:n parina käytetään usein IPSec:iä tiedon hyötykuorman suojaamiseksi.
• Kun L2TP on yhdistetty IPSecin kanssa, se voi käyttää jopa 256-bittisiä salausavaimia ja 3DES-algoritmia.
• L2TP toimii useilla alustoilla, ja sitä tuetaan natiivisti Windows- ja macOS-käyttöjärjestelmissä ja -laitteissa.
• L2TP:n kaksoiskapselointiominaisuus tekee siitä melko turvallisen, mutta se tarkoittaa myös sitä, että se on resursseja vaativampi.
• L2TP käyttää normaalisti TCP-porttia 1701, mutta kun se yhdistetään IPSecin kanssa, se käyttää myös UDP-portteja 500 (IKE – Internet Key Exchange), 4500 (NAT) ja 1701 (L2TP-liikenne).

L2TP:n datapakettien rakenne on seuraava:

• IP-otsake
• IPSec ESP-otsake
• UDP-otsake
• L2TP-otsake
• PPP-otsake
• PPP hyötykuorma
• IPSec ESP-perävaunu
• IPSec-todennusperävaunu

Kuinka L2TP/IPSec:n toimintatapa?

Periaatteessa tässä on lyhyt katsaus siihen, miten L2TP/IPSec VPN-yhteys tapahtuu:

• Aluksi neuvotellaan IPSec Security Association (SA – kahden verkkolaitteen välinen sopimus tietoturvaominaisuuksista). Tämä tapahtuu yleensä IKE:n kautta ja UDP-portin 500 kautta.
• Seuraavaksi luodaan ESP-prosessi (Encapsulating Security Payload) siirtotilaa varten. Tämä tehdään IP-protokollan 50 avulla. Kun ESP on perustettu, verkkoyksiköiden (tässä tapauksessa VPN-asiakkaan ja VPN-palvelimen) välille on luotu suojattu kanava. Toistaiseksi varsinaista tunnelointia ei kuitenkaan tapahdu.
• Tässä kohtaa L2TP astuu kuvaan – protokolla neuvottelee ja luo tunnelin verkon päätepisteiden välille. L2TP käyttää tähän TCP-porttia 1701, ja varsinainen neuvotteluprosessi tapahtuu IPSec-salauksen sisällä.

Mikä on L2TP Passthrough?

Koska L2TP-yhteyden on yleensä päästävä verkkoon reitittimen kautta, L2TP-liikenteen on pystyttävä kulkemaan kyseisen reitittimen läpi, jotta yhteys toimii. L2TP Passthrough on pohjimmiltaan reitittimen ominaisuus, jonka avulla voit ottaa L2TP-liikenteen käyttöön tai poistaa sen käytöstä.

Tietää kannattaa myös, että – joskus – L2TP ei toimi hyvin NAT:n (Network Address Translation) kanssa, joka on ominaisuus, joka varmistaa, että useat samaan verkkoon kytketyt Internetiin kytketyt laitteet, jotka käyttävät samaa verkkoa, voivat käyttää samaa liittymää ja samaa IP-osoitetta useiden eri IP-osoitteiden sijaan. Silloin L2TP Passthrough on kätevä, sillä sen ottaminen käyttöön reitittimessäsi mahdollistaa sen, että L2TP toimii hyvin NAT:n kanssa.

Jos haluat oppia lisää VPN Passthroughsta, meillä on artikkeli, joka saattaa kiinnostaa sinua.

Miten hyvä on L2TP:n tietoturva?

Vaikka L2TP-tunnelointia pidetään yleisesti parannuksena PPTP:hen verrattuna, on erittäin tärkeää ymmärtää, että L2TP-salausta ei oikeastaan ole olemassa yksinään – protokolla ei käytä mitään. Näin ollen pelkän L2TP-protokollan käyttäminen verkossa ollessasi ei ole järkevää.

Sen vuoksi L2TP:n parina käytetään aina IPSeciä, joka on melko turvallinen protokolla. Se voi käyttää tehokkaita salausmuotoja, kuten AES:ää, ja se käyttää myös kaksinkertaista kapselointia tietojen suojaamiseksi entisestään. Periaatteessa liikenne kapseloidaan ensin normaalin PPTP-yhteyden tapaan, ja sitten tehdään toinen kapselointi IPSecin avulla.

On kuitenkin syytä mainita, että on liikkunut huhuja, joiden mukaan NSA olisi joko murtautunut L2TP/IPSeciin tai heikentänyt sitä tarkoituksella. Nyt ei ole mitään selkeitä todisteita noille väitteille, vaikka ne ovatkin peräisin Edward Snowdenilta itseltään. Se riippuu siis viime kädessä siitä, haluatko uskoa hänen sanaansa vai et. Kannattaa kuitenkin tietää, että Microsoft on ollut NSA:n PRISM-valvontaohjelman ensimmäinen yhteistyökumppani.

Henkilökohtaisen mielipiteemme mukaan L2TP/IPSec on riittävän turvallinen VPN-protokolla, mutta sinun kannattaa varmistaa, että käytät myös luotettavaa, lokitietoja sisältämätöntä VPN-palveluntarjoajaa. Lisäksi, jos olet tekemisissä hyvin arkaluonteisten tietojen kanssa, on parempi käyttää sen sijaan vain turvallisempaa protokollaa tai kokeilla VPN-kaskadointia.

Kuinka nopea L2TP on?

Sisällään L2TP:tä pidettäisiin erittäin nopeana, koska se ei sisällä salausta. Tietenkin se haittapuoli, että yhteyksiäsi ei ole suojattu, on hyvin vakava, eikä sitä pitäisi jättää huomiotta nopeuden vuoksi.

Kuten L2TP/IPSec, VPN-protokolla voi tarjota kohtuullisia nopeuksia, vaikka suositellaankin nopeaa laajakaistayhteyttä (jossain 100 Mbps:n paikkeilla tai yli 100 Mbps:n paikkeilla) ja melko suorituskykyistä prosessoria. Muussa tapauksessa nopeudessa saattaa esiintyä joitakin pudotuksia, mutta ei mitään niin vakavaa, että verkkokokemuksesi menisi pilalle.

Miten helppoa L2TP:n määrittäminen on?

Useimmissa Windows- ja macOS-laitteissa se on niinkin yksinkertaista kuin siirtyminen verkkoasetuksiin ja muutaman vaiheen noudattaminen L2TP-yhteyden luomiseksi ja määrittämiseksi. Sama pätee L2TP/IPSec VPN-protokollaan – yleensä sinun on ehkä vain muutettava yhtä tai kahta vaihtoehtoa IPSec-salauksen valitsemiseksi.

L2TP ja L2TP/IPSec ovat melko yksinkertaisia määrittää manuaalisesti myös laitteissa, joissa niille ei ole omaa tukea. Saatat joutua noudattamaan muutamia ylimääräisiä vaiheita, mutta koko asennusprosessin ei pitäisi viedä liian kauan tai vaatia liikaa tietoa ja vaivaa.

Mikä on L2TP VPN?

Kuten nimikin kertoo, L2TP VPN on VPN-palvelu, joka tarjoaa käyttäjille pääsyn L2TP-protokollaan. Huomaa, että et todennäköisesti löydä VPN-palveluntarjoajaa, joka tarjoaa pääsyn vain L2TP:hen yksinään. Yleensä näet vain palveluntarjoajia, jotka tarjoavat L2TP/IPSecin varmistaakseen, että käyttäjien tiedot ja liikenne on suojattu.

Todennäköisesti sinun kannattaa kuitenkin valita VPN-palveluntarjoaja, joka tarjoaa pääsyn useisiin VPN-protokolliin. Pelkkä L2TP:n käyttömahdollisuus yksinään on yleensä punainen lippu, eikä pelkkä L2TP/IPSecin käyttömahdollisuus ole huono asia, mutta ei ole mitään syytä, miksi sinun pitäisi rajoittua vain siihen.

L2TP:n edut ja haitat

L2TP vs. muut VPN-protokollat

Kaikenkaikkiaan vertailemme L2TP:tä/IPSec:iä muihin VPN-protokolliin tässä osassa. L2TP tarjoaa yksinään 0 tietoturvaa, minkä vuoksi lähes kaikki VPN-palveluntarjoajat tarjoavat sitä IPSecin rinnalla. Kun siis tavallisesti näet VPN-palveluntarjoajan puhuvan L2TP-protokollasta ja sanovan, että se tarjoaa pääsyä siihen, he itse asiassa viittaavat L2TP/IPSec-protokollaan.

L2TP vs. PPTP

Alkajaisiksi L2TP tarjoaa paremman tietoturvan kuin PPTP (Point-to-Point Tunneling Protocol, Point-to-Point-tunnelointiprotokolla) IPSecin ansiosta. Lisäksi verrattuna PPTP:n 128-bittiseen salaukseen L2TP tukee 256-bittistä salausta. Lisäksi L2TP voi käyttää erittäin turvallisia salakirjoituksia, kuten AES:ää (sotilastason salaus), kun taas PPTP:ssä käytetään MPPE:tä, jota ei ole yhtä turvallista käyttää.

Nopeuden suhteen PPTP on yleensä paljon nopeampi kuin L2TP, mutta se häviää L2TP-protokollalle vakauden suhteen, koska PPTP:tä on erittäin helppo estää palomuureilla. Koska L2TP toimii UDP:n kautta, se on vaikeammin estettävissä. VPN-palveluntarjoaja voi myös hienosäätää protokollaa vielä enemmän varmistaakseen, etteivät NAT-palomuurit estä sitä.

Viimeiseksi mainittakoon myös se, että PPTP:n on kehittänyt yksin Microsoft (yritys, jonka tiedetään vuotaneen arkaluonteisia tietoja NSA:lle), kun taas L2TP:n on kehittänyt Microsoft yhdessä Ciscon kanssa. Tästä syystä jotkut käyttäjät pitävät L2TP:tä turvallisempana ja luotettavampana. Lisäksi PPTP:n tiedetään olevan NSA:n murtama, kun taas L2TP:n on väitetty olevan vain NSA:n murtama (sitä ei ole vielä todistettu).

Kaiken kaikkiaan sinun tulisi tietää, että L2TP:tä pidetään PPTP:n parannettuna versiona, joten sinun tulisi aina valita se kyseisen protokollan sijaan.

Jos haluat lukea lisää PPTP VPN-protokollasta, voit tutustua tähän artikkeliin.

L2TP vs. IKEv2

On syytä mainita, että IKEv2 on IPSeciin perustuva tunnelointiprotokolla, joten VPN-palveluntarjoajat puhuvat usein IKEv2:sta/IPSec:stä puhuessaan IKEv2:sta. Voit siis yleensä nauttia IKEv2:n avulla samantasoisesta turvallisuudesta kuin L2TP:n avulla – ainoana suurena erona on se, että Snowden ei ole kertonut huhuja siitä, että NSA olisi heikentänyt IKEv2:ta.

Tämän lisäksi IKEv2 on paljon luotettavampi kuin L2TP, kun on kyse vakaudesta, ja tämä kaikki on sen liikkuvuus- ja monipaikkaisuusprotokollan (MOBIKE) ansiota, jonka ansiosta protokolla kestää verkon muutoksia. Periaatteessa IKEv2:n avulla voit vaihtaa vapaasti WiFi-yhteydestä datayhteyteen ilman, että sinun tarvitsee huolehtia VPN-yhteyden katkeamisesta. IKEv2 voi myös automaattisesti jatkaa toimintaansa VPN-yhteyden äkillisen keskeytyksen jälkeen (kuten esimerkiksi sähkökatkon jälkeen).

Vaikka Microsoft on myös kehittänyt IKEv2:n yhdessä Ciscon kanssa, toinen syy siihen, miksi monet suosivat sitä L2TP-protokollaan verrattuna, on se, että IKEv2:sta on olemassa avoimen lähdekoodin versioita, mikä tekee siitä luotettavamman.

Jos haluat lisätietoja IKEv2:sta, tutustu tähän artikkeliin.

L2TP vs. OpenVPN

Kumpikin protokolla tarjoaa kohtuullisen tietoturvan, mutta OpenVPN:ää pidetään parempana valintana, koska se on avoimen lähdekoodin protokolla, se käyttää SSL 3.0:aa ja se voidaan konfiguroida niin, että se tarjoaa lisäsuojaa. Kaiken ylimääräisen turvallisuuden haittapuolena on alhaisempi yhteysnopeus. OpenVPN on yleensä hitaampi kuin L2TP, vaikka tulokset saattavat olla hieman erilaisia, jos käytät OpenVPN:ää UDP:llä.

Vakauden suhteen L2TP jää kuitenkin taka-alalle, koska se käyttää rajoitettuja portteja. Yksinkertaisesti sanottuna NAT-palomuurit voivat estää protokollan – ellei sitä ole konfiguroitu oikein (mikä voi olla ylimääräistä vaivaa, jos et ole tarpeeksi kokenut). OpenVPN sen sijaan voi käyttää mitä tahansa porttia – myös porttia 443, joka on varattu HTTPS-liikenteelle. Tämä tarkoittaa, että minkä tahansa Internet-palveluntarjoajan tai verkon ylläpitäjän on hyvin vaikea estää OpenVPN:ää palomuurilla.

Saatavuuden ja asennuksen osalta OpenVPN toimii monilla alustoilla, mutta se ei ole niissä aivan natiivisti käytettävissä kuten L2TP. Tämän seurauksena OpenVPN-yhteyden perustaminen laitteeseen vie yleensä paljon kauemmin kuin L2TP-yhteyden. Onneksi, jos käytät VPN:ää, joka tarjoaa OpenVPN-yhteyksiä, sinun ei tarvitse tehdä paljoakaan, koska kaikki on jo valmiina puolestasi.

Tahdotko tietää lisää OpenVPN:stä? Seuraa sitten tätä linkkiä.

L2TP vs. SSTP

SSTP (Secure Socket Tunneling Protocol) käyttää OpenVPN:n tavoin SSL 3.0:ta ja voi käyttää porttia 443. Se on siis turvallisempi kuin L2TP, ja sitä on myös vaikeampi estää palomuurilla. SSTP:n on kehittänyt yksin Microsoft, joten – tässä suhteessa – L2TP saattaa olla hieman luotettavampi, koska Cisco oli mukana sen kehitystyössä.

Nopeuden osalta SSTP:tä pidetään usein nopeampana kuin L2TP:tä, koska kaksinkertaista kapselointia ei tapahdu. Mutta mitä tulee alustarajat ylittävään yhteensopivuuteen, L2TP pärjää paremmin, koska SSTP on sisäänrakennettu vain Windows-käyttöjärjestelmiin, ja se voidaan asentaa myös:

• reitittimiin
• Androidiin
• Linuxiin

L2TP taas on saatavana monelle muullekin alustalle, ja se on myös sisäänrakennettu useimpiin niistä. VPN-protokollan asettaminen on siis myös helpompaa.

Kaiken kaikkiaan, jos pitäisi valita SSTP:n ja L2TP:n välillä, kannattaa valita SSTP.

Jos haluat lisätietoja kyseisestä protokollasta, seuraa tätä linkkiä.

L2TP vs. WireGuard®

Kumpikin, sekä WireGuard että L2TP/IPSec, tarjoavat kohtuullisen turvallisuustason, mutta WireGuard käyttää uudempia algoritmeja, joita ei voi muuttaa (käyttäjät eivät voi tehdä muutoksia, jotka saattaisivat vahingossa vaarantaa tietoja). WireGuard on myös avointa lähdekoodia, mikä tekee siitä läpinäkyvämmän ja helpommin tarkastettavan.

Emme ole kohdanneet vakausongelmia kummankaan protokollan kanssa. Verkonvalvojan on silti helpompi estää L2TP/IPSec, koska se käyttää vain kolmea porttia (UDP 500, UDP 4500 ja ESP IP Protocol 50). Jos käytät L2TP:tä yksinään, se käyttää vain yhtä porttia – UDP 1701. WireGuard sen sijaan käyttää lukemattomia UDP-portteja.

WireGuard on ehdottomasti nopeampi kuin L2TP/IPSec. Jälkimmäinen kapseloi tietosi kahteen kertaan, mikä kuluttaa enemmän resursseja.

Voit käyttää molempia protokollia useimmissa käyttöjärjestelmissä.

Kummallakin protokollalla olet turvassa, mutta suosittelemme pysymään WireGuardissa, kun se on mahdollista. Se on vain nopeampi ja parempi yksityisyytesi kannalta.

Siltikin, jos haluat lisätietoja Wireguardista, seuraa tätä linkkiä.

L2TP vs. SoftEther

L2TP:n tapaan myös SoftEther voi käyttää 256-bittistä salausavainta ja AES:n kaltaista vahvaa salakirjoitusta. Mutta SoftEther menee vielä pidemmälle – se on myös avointa lähdekoodia, se käyttää SSL 3.0:aa ja se on myös erittäin vakaa. Itse asiassa SoftEtheriä pidetään usein hyvänä vaihtoehtona OpenVPN:lle.

Se on lisäksi erittäin mielenkiintoinen asia SoftEtherissä – se on sekä protokolla että VPN-palvelin. Ja VPN-palvelin voi itse asiassa tukea L2TP/IPSec-protokollaa monien muiden ohella:

• IPSec
• OpenVPN
• SSTP
• SoftEther

Tällaista et saa L2TP VPN-palvelimella.

Nopeuden suhteen olet parempi SoftEtherin kanssa. Korkeasta turvallisuudestaan huolimatta protokolla on myös osoittautunut erittäin nopeaksi. Sen kehittäjien mukaan se johtuu siitä, että SoftEther on ohjelmoitu suurnopeusläpivientiä silmällä pitäen, kun taas PPP:hen perustuva L2TP:n kaltainen protokolla on rakennettu kapeakaistaisia puhelinlinjoja silmällä pitäen.

L2TP näyttää kuitenkin loistavan käyttöönottoprosessissa. Vaikka SoftEther toimii lähes yhtä monella alustalla kuin L2TP, sen käyttöönotto on vaikeampaa. Koska se on ohjelmistopohjainen ratkaisu, sinun on myös ladattava ja asennettava SoftEther-ohjelmisto laitteeseesi – kyllä, vaikka käyttäisitkin VPN-palveluntarjoajaa, joka tarjoaa SoftEther-protokollaa.

Jos olet kiinnostunut lukemaan lisää SoftEtheristä, meillä on jo artikkeli aiheesta.

L2TP vs. IPSec

Säästämme tämän vertailun viimeiseksi, koska se on hieman erikoinen. Silti, koska on VPN-palveluntarjoajia, jotka tarjoavat pääsyä vain IPSeciin protokollana, ajattelimme, että joitakin teistä voisi kiinnostaa nähdä, miten L2TP vertautuu siihen yksinään.

Alkajaisiksi IPSec tarjoaa verkkoturvallisuutta verrattuna L2TP:hen, joka ei tarjoa mitään salausta yksinään. Lisäksi IPSeciä on paljon vaikeampi estää palomuurilla kuin L2TP:tä, koska se pystyy salaamaan dataa ilman, että mikään loppusovellus on siitä tietoinen.

Toisaalta L2TP pystyy kuljettamaan muitakin protokollia kuin IP:tä, kun taas IPSec ei pysty siihen.

Katsoen L2TP/IPSec vs. IPSec, tietoturva on melko samanlainen, mutta L2TP/IPSec saattaa olla hieman resurssi-intensiivisempi ja vähemmän nopea, koska ylimääräinen kapselointi lisää ylimääräisen IP/UDP-paketin ja L2TP-otsikon.

Haluatko oppia lisää IPSecistä? Tutustu vapaasti sitä käsittelevään artikkeliin.

Onko L2TP sitten hyvä VPN-protokolla?

Sikäli kuin L2TP:tä käytetään IPSecin kanssa, se on melko turvallinen protokolla – riippuen kuitenkin siitä, miten suhtaudut Snowdenin syytöksiin ja väitteisiin. Se ei ole nopein protokolla kaksinkertaisen kapselointiominaisuuden vuoksi, mutta se on melko vakaa ja toimii useissa käyttöjärjestelmissä ja laitteissa.

Johtopäätös – Mikä on L2TP?

L2TP (Layer 2 Tunneling Protocol) on VPN-tunnelointiprotokolla, jota pidetään PPTP:n parannettuna versiona. Koska siinä ei ole salausta, L2TP:tä käytetään usein IPSecin rinnalla. Useimmiten VPN-palveluntarjoajat tarjoavat siis pääsyä L2TP/IPSeciin, ei L2TP:tä yksinään.

L2TP/IPSec on melko turvallinen käyttää, vaikka on syytä mainita, että on väitetty, että NSA on murtautunut protokollaan tai heikentänyt sitä. Nopeuden kannalta L2TP ei ole liian huono, mutta yhteysnopeudet saattavat olla hitaampia protokollan kaksoiskapselointiominaisuuden vuoksi. Saatavuuden osalta L2TP toimii natiivisti monilla Windows- ja macOS-alustoilla, ja se on melko helppo konfiguroida myös muihin laitteisiin ja käyttöjärjestelmiin.

Kaiken kaikkiaan L2TP/IPSec on kelvollinen VPN-protokolla, mutta suosittelemme valitsemaan VPN-palveluntarjoajan, joka tarjoaa L2TP:n lisäksi useita muita VPN-protokollia, jos haluat aidosti turvallisen verkkokokemuksen.

”WireGuard” on Jason A. Donenfeldin rekisteröimä tavaramerkki.