Настройка VPN L2TP-сервера: полное руководство для Windows и MikroTik

Что такое L2TP и зачем он нужен

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования, который используется для создания VPN-соединений. Он работает на канальном уровне, позволяя инкапсулировать пакеты различных протоколов внутри IP-туннеля. Однако сам по себе L2TP не обеспечивает шифрование и аутентификацию, поэтому его почти всегда используют в связке с IPsec, который добавляет необходимый уровень безопасности. Такая комбинация называется L2TP/IPsec и является одним из самых распространённых способов организации VPN.

L2TP/IPsec поддерживается практически всеми современными операционными системами и устройствами «из коробки», что делает его удобным выбором для подключения удалённых сотрудников или объединения офисов. В отличие от более сложных решений, таких как OpenVPN, для настройки L2TP не требуется устанавливать дополнительное программное обеспечение на стороне клиента. Это существенно упрощает развёртывание и поддержку.

Основные сценарии использования L2TP/IPsec включают:

• Подключение удалённых сотрудников к корпоративной сети (client-to-site).
• Объединение нескольких офисов в единую сеть (site-to-site).
• Обеспечение безопасного доступа к ресурсам, которые не должны быть доступны из публичного интернета.

Важно понимать, что L2TP/IPsec — это не единственный протокол VPN, и у него есть свои ограничения. Например, IPsec может быть заблокирован в некоторых сетях, а также требует определённых настроек для работы через NAT. Тем не менее, для большинства задач он остаётся надёжным и проверенным решением.

Выбор между L2TP/IPsec и другими протоколами VPN

Прежде чем приступить к настройке, важно понять, почему стоит выбрать именно L2TP/IPsec, а не, скажем, PPTP или OpenVPN. Каждый из этих протоколов имеет свои сильные и слабые стороны.

PPTP — один из самых старых протоколов, который поддерживается Windows и Android. Он прост в настройке, но крайне небезопасен: ключ шифрования может быть восстановлен из перехваченного трафика за несколько часов. Использовать PPTP не рекомендуется, если только речь не идёт о некритичных данных.

OpenVPN — это гибкое и безопасное решение, которое использует SSL/TLS. Оно позволяет передавать клиенту маршруты при подключении, что удобно для сложных сетей. Однако OpenVPN требует установки клиентского ПО на всех устройствах, а в MikroTik он работает только по TCP, что снижает производительность. Для большинства случаев L2TP/IPsec оказывается проще и быстрее.

SSTP — протокол от Microsoft, который использует порт 443 и может обходить фаерволы. Он безопасен, но требователен к ресурсам процессора, особенно на слабых маршрутизаторах MikroTik.

L2TP/IPsec — оптимальный баланс между безопасностью, совместимостью и простотой настройки. Он поддерживается всеми современными ОС, не требует установки дополнительного ПО на клиенте и обеспечивает надёжное шифрование. Именно поэтому он рекомендуется для большинства сценариев, особенно если нужно объединить офисы или подключить удалённых сотрудников.

Если вам нужно максимальное быстродействие без шифрования, можно использовать EOIP или GRE, но это уже специфические решения для MikroTik, которые не подходят для подключения обычных пользователей.

Подготовка к настройке L2TP-сервера

Перед тем как приступить к настройке, необходимо собрать все данные и убедиться, что инфраструктура готова. Вам понадобятся:

• Публичный IP-адрес или доменное имя, по которому клиенты будут обращаться к серверу. Если сервер находится за NAT, потребуется настроить проброс портов.
• Логин и пароль для каждого VPN-пользователя.
• Общий ключ IPsec (pre-shared key) — секретная фраза, которая используется для аутентификации при установлении IPsec-туннеля.
• Диапазон IP-адресов для выдачи клиентам VPN.

Также важно проверить, что на сервере открыты необходимые порты: UDP 1701 (L2TP), UDP 500 (ISAKMP) и UDP 4500 (NAT-T) для IPsec, а также протокол ESP (IPsec). Если используется брандмауэр, нужно добавить разрешающие правила.

Если вы планируете объединить два офиса, убедитесь, что хотя бы один из маршрутизаторов имеет публичный IP-адрес. В противном случае потребуется использовать сторонние сервисы или более сложные схемы.

Для MikroTik рекомендуется обновить RouterOS до актуальной версии, так как в новых версиях исправлены ошибки и улучшена производительность IPsec.

Настройка L2TP-сервера на MikroTik

Рассмотрим настройку L2TP-сервера на маршрутизаторе MikroTik. Этот процесс состоит из нескольких этапов: создание пула IP-адресов, добавление пользователей, включение L2TP-сервера и настройка IPsec.

Шаг 1. Создание пула IP-адресов. Перейдите в раздел IP -> Pool и создайте новый пул, например, vpn-pool с диапазоном адресов, которые будут выдаваться клиентам. Например, 10.10.5.1-10.10.5.100.

Шаг 2. Создание пользователя. В разделе PPP -> Secrets добавьте нового пользователя. Укажите имя, пароль и выберите тип сервиса l2tp. Здесь же можно задать локальный и удалённый адреса, если требуется статический IP для клиента.

Шаг 3. Включение L2TP-сервера. Перейдите в PPP -> L2TP Server и установите флажок Enabled. В поле Authentication выберите mschap2 — это наиболее безопасный протокол аутентификации. Для принудительного использования IPsec установите Use IPsec в значение required и укажите IPsec Secret — общий ключ.

Шаг 4. Создание статического интерфейса (опционально). Чтобы интерфейс L2TP не исчезал после разрыва соединения, можно создать статическую запись в Interfaces -> L2TP Server Binding. Это удобно для правил файрвола и маршрутизации.

Шаг 5. Настройка файрвола. В IP -> Firewall -> Filter Rules добавьте разрешающие правила для входящих подключений на UDP-порты 1701, 500, 4500 и протокол ESP. Укажите интерфейс, через который приходят подключения (например, WAN).

После этих шагов сервер готов к приёму подключений. Проверить статус можно командой /interface l2tp-server print — у активного туннеля будет флаг R (running).

Настройка L2TP-клиента на MikroTik

Если вы объединяете два офиса, на втором маршрутизаторе нужно настроить L2TP-клиент. Это делается в разделе PPP -> L2TP Client.

Укажите следующие параметры:

• Connect To — IP-адрес или доменное имя L2TP-сервера.
• User и Password — учётные данные, созданные на сервере.
• Use IPsec — установите флажок и введите тот же IPsec Secret, что и на сервере.

После создания интерфейса он автоматически установит соединение. Проверить статус можно командой /interface l2tp-client print. Если соединение активно, у интерфейса будет флаг R.

Для того чтобы клиенты за вторым маршрутизатором могли обращаться к сети за первым, необходимо добавить статический маршрут. Например, если сеть за сервером — 10.11.11.0/24, а VPN-адрес сервера — 172.16.1.1, то маршрут будет выглядеть так: /ip route add dst-address=10.11.11.0/24 gateway=172.16.1.1.

Аналогичный маршрут нужно добавить и на сервере для сети за клиентом. Это обеспечит двустороннюю связь между офисами.

Настройка L2TP/IPsec на Windows 10

Для подключения к L2TP-серверу с компьютера под управлением Windows 10 выполните следующие шаги.

1. Нажмите правой кнопкой мыши на кнопку «Пуск» и выберите «Параметры».
2. Перейдите в раздел «Сеть и Интернет» -> «VPN».
3. Нажмите «Добавить VPN-подключение».
4. В открывшемся окне укажите:

• Поставщик услуг VPN — Windows (встроенные).
• Имя подключения — любое удобное название.
• Адрес или имя сервера — IP-адрес или доменное имя VPN-сервера.
• Тип VPN — L2TP/IPsec с предварительным ключом.
• Общий ключ — секретная фраза IPsec.
• Тип данных для входа — Имя пользователя и пароль.
• Имя пользователя и Пароль — учётные данные VPN.

1. Нажмите «Сохранить».

После сохранения подключение появится в списке VPN. Для подключения нажмите на значок сети в правом нижнем углу, выберите нужное подключение и нажмите «Подключить». Если всё настроено правильно, появится статус «Подключено».

Если требуется отключить использование основного шлюза в удалённой сети (например, чтобы не направлять весь трафик через VPN), откройте свойства подключения, перейдите на вкладку «Сеть», выберите «IP версии 4 (TCP/IPv4)», нажмите «Свойства», затем «Дополнительно» и снимите флажок «Использовать основной шлюз в удалённой сети».

Настройка L2TP/IPsec на Windows 7 и 8.1

В более старых версиях Windows процесс настройки немного отличается.

1. Откройте «Панель управления» (команда control в окне «Выполнить»).
2. Перейдите в «Центр управления сетями и общим доступом» -> «Создание и настройка нового подключения или сети».
3. Выберите «Подключение к рабочему месту» и нажмите «Далее».
4. Выберите «Использовать моё подключение к Интернету (VPN)».
5. Укажите Адрес в Интернете (IP или домен) и Имя объекта назначения (любое название). Нажмите «Создать».

После создания подключения откройте его свойства. На вкладке «Безопасность»:

• В поле Тип VPN выберите «Протокол L2TP с IPsec (L2TP/IPsec)».
• Нажмите «Дополнительные параметры» и установите флажок «Для проверки подлинности использовать общий ключ», введите ключ.
• Убедитесь, что выбрано шифрование «обязательное» и разрешён протокол MS-CHAP v2.

Затем можно подключаться через значок сети в трее. Отключение производится аналогично.

Решение типичных проблем при подключении

При настройке L2TP/IPsec могут возникать различные проблемы. Рассмотрим наиболее частые из них.

1. Неверные учётные данные. Проверьте правильность ввода логина, пароля и общего ключа IPsec. Обратите внимание, что ключ IPsec чувствителен к регистру.

2. Блокировка брандмауэром. Убедитесь, что на сервере открыты порты UDP 1701, 500, 4500 и разрешён протокол ESP. Если соединение устанавливается после временного отключения файрвола, значит, проблема в правилах.

3. Несовпадение настроек IPsec. На клиенте и сервере должны совпадать общий ключ и алгоритмы шифрования. В MikroTik при использовании быстрой настройки параметры IPsec задаются автоматически, но если вы меняли их вручную, убедитесь в совместимости.

4. Проблемы с NAT. Если сервер находится за NAT, необходимо настроить проброс портов на маршрутизаторе. Также убедитесь, что на клиенте включена поддержка NAT-T (обычно она активна по умолчанию).

5. Блокировка со стороны провайдера или государства. В некоторых странах, включая Россию, возможна блокировка VPN-протоколов, особенно IPsec. Если соединение не устанавливается, попробуйте временно отключить IPsec на сервере (если это допустимо) и проверить, работает ли L2TP без него. Если да, то проблема именно в блокировке IPsec. В этом случае можно рассмотреть альтернативные протоколы, например OpenVPN или SSTP.

6. Проблемы с маршрутизацией. Если соединение устанавливается, но нет доступа к удалённой сети, проверьте маршруты на обоих маршрутизаторах. Убедитесь, что добавлены статические маршруты для сетей за каждым из них.

Безопасность и производительность L2TP/IPsec

L2TP/IPsec обеспечивает надёжное шифрование, но важно правильно настроить параметры безопасности.

• Используйте только MS-CHAPv2 для аутентификации. Более старые протоколы, такие как PAP или CHAP, уязвимы и не должны использоваться.
• Принудительно включайте IPsec на сервере, чтобы клиенты не могли подключаться без шифрования.
• Регулярно меняйте общий ключ IPsec и пароли пользователей.
• Ограничьте доступ к VPN-серверу по IP-адресам, если это возможно.

Что касается производительности, IPsec может значительно снижать пропускную способность маршрутизатора, особенно на слабых моделях. На MikroTik рекомендуется использовать аппаратное ускорение IPsec, если оно поддерживается. Также стоит учитывать, что L2TP добавляет дополнительные заголовки, что уменьшает MTU. Обычно это не критично, но при проблемах с производительностью можно настроить MTU вручную.

Для максимальной скорости без шифрования можно использовать EOIP или GRE, но это допустимо только в доверенных сетях.

Проверка работоспособности и мониторинг

После настройки важно убедиться, что VPN работает корректно.

• На сервере MikroTik проверьте список активных подключений командой /interface l2tp-server print. У активных туннелей должен быть флаг R.
• На клиенте Windows проверьте статус подключения в разделе «VPN» — должно быть «Подключено».
• Проверьте связь между устройствами в разных сетях с помощью команды ping.

Для мониторинга можно настроить логирование на MikroTik. В разделе System -> Logging добавьте правила для тем l2tp и ipsec. Это поможет выявить проблемы при подключении.

Также полезно периодически проверять скорость соединения через VPN, чтобы убедиться, что она соответствует ожиданиям. Если скорость низкая, возможно, требуется оптимизация настроек или апгрейд оборудования.

Вопросы и ответы