¿Qué es L2TP?

L2TP (Layer 2 Tunneling Protocol) – El soporte está integrado en Windows. Para crear una VPN segura, se utiliza en conjunto con IPsec.

El Protocolo de Túnel de Capa 2 se basa en PPTP y el protocolo propietario L2F desarrollado por Cisco. A diferencia de PPTP, L2TP no utiliza un canal de control dedicado. Todos los mensajes de control se envían a través del túnel. El problema de PPTP y similares relacionado con el paso a través de NAT, debido a la falta de puertos en GRE, se resuelve en L2TP encapsulando los datos tunelizados en UDP (puerto 1701). Como resultado, los datos del usuario se envuelven como una col en un montón de encabezados, además de un tráiler PPP en la parte superior.

La implementación del protocolo multienlace MPD tiene soporte unificado para los siguientes tipos de conexión: L2TP, PPTP y otros.

Instalación y Configuración de un Servidor VPN L2TP en Ubuntu Server

Este método es adecuado incluso para principiantes en administración de sistemas. Para empezar, puedes revisar la información del desarrollador de los Scripts de Configuración Automática de Servidor VPN IPsec en el recurso de GitHub. El script utiliza los protocolos IPsec (Libreswan) y L2TP (xl2tpd). Este script ha sido probado y se ha verificado que funciona en Ubuntu 20.04 (Focal), Ubuntu 22.

apt update
wget https://get.vpnsetup.net -O vpn.sh && sudo sh vpn.sh

Si deseas ejecutar el script con tus propias credenciales para acceder al servidor VPN, ejecuta el comando y luego edita el archivo vpnsetup.sh en el editor Nano. Reemplaza estas variables con tus propios datos: YOUR_IPSEC_PSK, YOUR_USERNAME y YOUR_PASSWORD.

wget https://get.vpnsetup.net -O vpn.sh
nano -w vpn.sh

En modo automático, el script creará un servidor VPN L2TP listo para usar y también generará las credenciales para acceder al servidor VPN, luciendo algo como esto:

IPsec VPN server is now ready for use!

Connect to your new VPN with these details:

Server IP: xxx.xxx.xxx.xxx
IPsec PSK: djsXsLpgShVENZY3WRS
Username: vpnuser
Password: 7Vjjuo5l6Wzke4x

Write these down. Youll need them to connect!

IKEv2 setup successful. Details for IKEv2 mode:

VPN server address: xxx.xxx.xxx.xxx
VPN client name: vpnclient

Client configuration is available at:
/root/vpnclient.p12 (for Windows & Linux)
/root/vpnclient.sswan (for Android)
/root/vpnclient.mobileconfig (for iOS & macOS)

El trabajo en el servidor ha finalizado, se han obtenido las credenciales de inicio de sesión y todo lo que queda es configurar el cliente VPN en tu computadora (o teléfono inteligente) para obtener acceso a nuestro servidor VPN.

Ventajas y Desventajas de L2TP/IPsec

Antes de implementar el servidor, vale la pena evaluar las fortalezas y debilidades de esta combinación de protocolos para entender si se adapta a tus tareas.

Ventajas:

• Soporte integrado: Los clientes están integrados en casi todos los sistemas operativos populares (Windows, macOS, iOS, Android). No es necesario instalar software de terceros.
• Alta seguridad: L2TP por sí mismo no cifra el tráfico, pero en combinación con IPsec (que utiliza algoritmos AES-256), proporciona protección de nivel empresarial.
• Estabilidad: El protocolo está excelentemente documentado y es predecible en su funcionamiento.

Desventajas:

• Problemas con NAT: Debido a especificidades operativas, el protocolo a menudo requiere configuraciones adicionales del registro en el lado del cliente (lo cual se describe en detalle más abajo).
• Baja velocidad en dispositivos débiles: Debido a la doble encapsulación de datos (L2TP dentro de IPsec), aumenta la carga de la CPU, lo que puede reducir las velocidades en enrutadores baratos o teléfonos inteligentes antiguos.
• Fácil de bloquear: Los puertos del protocolo son fijos, por lo que los proveedores o los sistemas TSPU/DPI pueden bloquear dicha conexión VPN con un solo clic.

Configuración del Cliente L2TP/IPsec en Windows 11

1. Selecciona Inicio > Configuración > Red e Internet > VPN > Agregar VPN.
2. In la sección Agregar una conexión VPN, realiza las siguientes acciones:
   • En el campo Proveedor de VPN, selecciona Windows (integrado).
   • En el campo Nombre de la conexión, ingresa un nombre que tenga sentido para ti (por ejemplo, «Mi VPN Personal»). Este es el nombre de la conexión VPN que buscarás para conectarte.
   • En el campo Nombre o dirección del servidor, ingresa la dirección del servidor VPN.
   • Selecciona el Tipo de VPN de la lista como «L2TP/IPsec con clave precompartida».
   • Clave precompartida — ingresa nuestra IPsec PSK.
   • Tipo de información de inicio de sesión — selecciona «Nombre de usuario y contraseña».
   • Nombre de usuario y contraseña — completa estos campos.
3. Haz clic en Guardar.

Al intentar conectarte, lo más probable es que recibas un error: «No se pudo establecer la conexión de red entre el equipo y el servidor VPN porque el servidor remoto no responde. Esto podría deberse a que uno de los dispositivos de red (por ejemplo, firewalls, NAT, enrutadores, etc.) entre el equipo y el servidor remoto no está configurado para permitir conexiones VPN. Póngase en contacto con el administrador o con el proveedor de servicios para determinar qué dispositivo puede estar causando el problema.»

Para solucionarlo, si el servidor VPN L2TP/IPsec está detrás de un NAT, entonces para que los clientes externos se conecten correctamente a través del NAT, es necesario realizar un cambio en el registro tanto en el servidor como en el cliente de Windows, permitiendo la encapsulación de paquetes UDP para L2TP y el soporte (NAT-T) para IPsec. E incluso si el servidor no está detrás de un NAT, hazlo de todos modos como se indica a continuación; al fin y al cabo, es Windows 🙂

1. Abre el editor del registro regedit.exe y navega hasta la rama para Windows 10, 8.1, 7 y Windows Server 2016, 2012R2, 2008R2 — HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent
2. Crea un parámetro DWORD llamado AssumeUDPEncapsulationContextOnSendRule y establece su valor en 2

Valores posibles para el parámetro AssumeUDPEncapsulationContextOnSendRule:

• 0 – (valor por defecto), asume que el servidor VPN está conectado a Internet sin NAT;
• 1 – el servidor VPN está ubicado detrás de un NAT;
• 2 — tanto el servidor VPN como el cliente están ubicados detrás de un NAT.

Todo lo que queda es reiniciar la computadora y asegurarse de que el túnel VPN se establezca con éxito.

Conclusión

La combinación L2TP/IPsec es una solución clásica y probada en el tiempo para crear una VPN. Su principal ventaja radica en la disponibilidad «lista para usar»: una vez que configuras el servidor, podrás conectar estaciones de trabajo Windows o dispositivos móviles a él sin necesidad de descargar utilidades de terceros como OpenVPN o WireGuard.

Sin embargo, considerando las características arquitectónicas (dificultades para pasar a través de NAT y vulnerabilidad a los bloqueos de DPI), hoy en día se elige este protocolo con mayor frecuencia para organizar el acceso a un perímetro seguro dentro de las redes corporativas. Para uso personal bajo restricciones estrictas del proveedor, también vale la pena prestar atención a las alternativas modernas con ofuscación de tráfico.