Настройка L2TP/IPsec VPN в Linux: сервер и клиент, CLI и GUI

Что такое L2TP/IPsec и почему он до сих пор актуален

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования, который сам по себе не обеспечивает шифрование и аутентификацию. Поэтому на практике он почти всегда используется в связке с IPsec, который добавляет шифрование и защиту целостности данных. Такая комбинация называется L2TP/IPsec и поддерживается практически всеми современными операционными системами, включая Windows, macOS, Android, iOS и, конечно, Linux.

Несмотря на появление более современных протоколов, таких как WireGuard и OpenVPN, L2TP/IPsec остаётся востребованным благодаря своей совместимости с устаревшими системами и встроенной поддержке во многих VPN-сервисах. Например, встроенный клиент Windows и многие корпоративные VPN-шлюзы до сих пор используют именно L2TP/IPsec.

В этой статье мы рассмотрим настройку L2TP/IPsec как на стороне сервера (на базе Debian/Ubuntu), так и на стороне клиента (через командную строку и графический интерфейс NetworkManager). Вы узнаете, как установить необходимые пакеты, настроить IPsec и L2TP, подключиться к VPN и решить типичные проблемы.

Предварительные требования и подготовка системы

Прежде чем приступать к настройке, убедитесь, что у вас есть:

• Сервер или клиент с установленным Linux (рекомендуются Debian, Ubuntu, Fedora или CentOS).
• Права суперпользователя (sudo) для установки пакетов и изменения конфигурационных файлов.
• Для клиента: IP-адрес или имя хоста VPN-сервера, предварительный общий ключ (PSK), имя пользователя и пароль.
• Для сервера: статический IP-адрес, доступный из интернета, и открытые порты UDP 500, 1701 и 4500.

Также рекомендуется обновить систему перед началом работы:

sudo apt update && sudo apt upgrade   # Debian/Ubuntu
sudo dnf update                      # Fedora/RHEL

Убедитесь, что ваша система поддерживает strongSwan версии 5.0 и выше, так как более старые версии могут не поддерживать рекомендуемые алгоритмы шифрования.

Установка необходимых пакетов для L2TP/IPsec

Для работы L2TP/IPsec на Linux потребуются два основных компонента: strongSwan (реализация IPsec) и xl2tpd (демон L2TP). В зависимости от дистрибутива команды установки будут различаться.

Debian/Ubuntu/Linux Mint:

sudo apt install strongswan xl2tpd ppp

Fedora/RHEL/CentOS Stream:

sudo dnf install strongswan xl2tpd ppp

Arch Linux/Manjaro:

sudo pacman -S strongswan xl2tpd ppp

Для настройки через графический интерфейс NetworkManager дополнительно установите плагины:

• Debian/Ubuntu: network-manager-l2tp и network-manager-l2tp-gnome
• Fedora/RHEL: NetworkManager-l2tp и NetworkManager-l2tp-gnome
• Arch: networkmanager-l2tp и networkmanager-l2tp-gnome

После установки перезапустите NetworkManager, если вы планируете использовать GUI:

sudo systemctl restart NetworkManager

Настройка IPsec с помощью strongSwan

IPsec отвечает за шифрование и аутентификацию. В strongSwan конфигурация хранится в файлах /etc/ipsec.conf (параметры соединений) и /etc/ipsec.secrets (ключи).

Конфигурация ipsec.conf для сервера:

Откройте файл /etc/ipsec.conf и добавьте следующие секции:

conn rw-base
    fragmentation=yes
    dpdaction=clear
    dpdtimeout=90s
    dpddelay=30s

conn l2tp-vpn
    also=rw-base
    ike=aes128-sha256-modp3072
    esp=aes128-sha256-modp3072
    leftsubnet=%dynamic[/1701]
    rightsubnet=%dynamic
    leftauth=psk
    rightauth=psk
    type=transport
    auto=add

Первая секция задаёт общие параметры: фрагментацию IKE и обнаружение мёртвых узлов (DPD). Вторая секция определяет параметры для L2TP-соединений: транспортный режим, аутентификацию по общему ключу и используемые шифры. Рекомендуемые значения взяты из официальной документации strongSwan.

Конфигурация ipsec.conf для клиента:

Для клиента конфигурация будет выглядеть иначе:

config setup
    charondebug="ike 2, knl 2, cfg 2, net 2, esp 2"
    uniqueids=no

conn my-vpn
    keyexchange=ikev1
    authby=secret
    type=transport
    left=%defaultroute
    leftprotoport=17/1701
    right=VPN_SERVER_IP
    rightprotoport=17/1701
    ike=aes256-sha256-modp2048
    esp=aes256-sha256
    auto=add

Замените VPN_SERVER_IP на реальный IP-адрес вашего VPN-сервера.

Сохранение предварительного общего ключа (PSK):

В файле /etc/ipsec.secrets укажите PSK. Для сервера:

%any %any : PSK "mySharedKey"

Для клиента:

: PSK "your-pre-shared-key"

Рекомендуется генерировать надёжный ключ с помощью команды:

openssl rand -base64 18

После изменения конфигурации перезапустите strongSwan:

sudo systemctl restart strongswan      # Debian/Ubuntu
sudo systemctl restart strongswan-starter   # Ubuntu (в некоторых версиях)

Настройка L2TP с помощью xl2tpd

Демон xl2tpd управляет L2TP-туннелями. Его конфигурация находится в /etc/xl2tpd/xl2tpd.conf, а параметры PPP — в /etc/ppp/options.xl2tpd.

Конфигурация xl2tpd.conf для сервера:

Отредактируйте файл /etc/xl2tpd/xl2tpd.conf следующим образом:

[global]
port = 1701
auth file = /etc/ppp/chap-secrets
access control = no
ipsec saref = yes
force userspace = yes

[lns default]
exclusive = no
ip range = 10.2.2.100-10.2.2.199
hidden bit = no
local ip = 10.2.2.1
length bit = yes
require authentication = yes
name = l2tp-vpn
pppoptfile = /etc/ppp/options.xl2tpd
flow bit = yes

Здесь ip range задаёт диапазон адресов для клиентов, local ip — адрес сервера в VPN-сети, name — имя службы, используемое для поиска учётных данных в файле chap-secrets.

Конфигурация xl2tpd.conf для клиента:

Для клиента добавьте секцию [lac]:

[global]
debug = 3

[lac my-vpn]
lns = VPN_SERVER_IP
ipsec saref = yes
length bit = yes
pppoptfile = /etc/ppp/options.xl2tpd

Настройка PPP-опций:

Скопируйте стандартный файл опций и отредактируйте его:

sudo cp /etc/ppp/options /etc/ppp/options.xl2tpd

Для сервера добавьте в /etc/ppp/options.xl2tpd:

asyncmap 0
auth
crtscts
lock
hide-password
modem
mtu 1460
lcp-echo-interval 30
lcp-echo-failure 4
noipx
refuse-pap
refuse-chap
refuse-mschap
require-mschap-v2
multilink
mppe-stateful

Для клиента используйте:

mtu 1400
mru 1400
noauth
defaultroute
usepeerdns
persist
maxfail 0

Учётные данные пользователей:

Для сервера создайте учётные записи в /etc/ppp/chap-secrets:

ivanov l2tp-vpn Pa$$word_1 *

Формат: логин, имя службы (должно совпадать с name в xl2tpd.conf), пароль, IP-адрес (или * для любого).

Для клиента укажите свои данные в том же файле:

your-username * your-password *

После изменений перезапустите xl2tpd:

sudo systemctl restart xl2tpd

Подключение к L2TP/IPsec VPN через командную строку

Для подключения к VPN-серверу с клиента Linux через CLI выполните следующие шаги.

1. Запустите IPsec-соединение:

sudo ipsec up my-vpn

Вы должны увидеть сообщение об успешном установлении IKE_SA.

2. Инициируйте L2TP-туннель:

echo "c my-vpn" | sudo tee /var/run/xl2tpd/l2tp-control

3. Проверьте интерфейс ppp0:

ip a show ppp0

Если всё прошло успешно, вы увидите назначенный IP-адрес.

4. Проверьте маршрутизацию:

ip route show default

Маршрут по умолчанию должен указывать на ppp0.

5. Проверьте связь и DNS:

ping 8.8.8.8 -c 3
nslookup google.com

Если ping проходит, но DNS не работает, проверьте настройки DNS в /etc/resolv.conf или используйте usepeerdns в опциях PPP.

Настройка L2TP/IPsec через графический интерфейс NetworkManager

Для пользователей десктопа NetworkManager предоставляет удобный графический интерфейс для настройки L2TP/IPsec.

Установка плагинов:

Как уже упоминалось, установите пакеты network-manager-l2tp и network-manager-l2tp-gnome (или аналогичные для вашего дистрибутива).

Создание нового VPN-подключения:

1. Откройте «Настройки» → «Сеть».
2. Нажмите «+» рядом с VPN.
3. Выберите «Layer 2 Tunneling Protocol (L2TP)».
4. Введите имя подключения, адрес шлюза (Gateway), имя пользователя и пароль.
5. Нажмите «IPsec Settings».
6. Установите флажок «Enable IPsec tunnel to L2TP host».
7. Введите предварительный общий ключ (PSK).
8. При необходимости укажите алгоритмы Phase 1 и Phase 2 (например, aes256-sha256-modp2048 и aes256-sha256).
9. Сохраните подключение и включите его.

Проверка подключения:

После включения VPN проверьте IP-адрес и маршрутизацию, как описано выше. Если соединение не устанавливается, проверьте журналы NetworkManager:

journalctl -u NetworkManager -f

Типичные проблемы и их решение

При настройке L2TP/IPsec могут возникнуть следующие проблемы:

1. IPsec-сервис не запускается:

Проверьте журналы:

journalctl -xeu strongswan

Частые причины: неправильный PSK, несовпадение алгоритмов шифрования, ошибки в конфигурации.

2. L2TP-туннель не устанавливается:

Проверьте журналы xl2tpd:

journalctl -xeu xl2tpd

Убедитесь, что порт 1701 UDP открыт и не блокируется брандмауэром.

3. Ошибки аутентификации:

Проверьте правильность имени пользователя и пароля в /etc/ppp/chap-secrets. Для GUI убедитесь, что данные введены верно.

4. Проблемы с маршрутизацией или DNS:

• Убедитесь, что в опциях PPP есть defaultroute и usepeerdns.
• Проверьте, что маршрут по умолчанию указывает на ppp0.
• Если DNS не работает, проверьте /etc/resolv.conf.

5. Брандмауэр блокирует трафик:

Откройте порты UDP 500, 1701 и 4500. Для UFW:

sudo ufw allow 500/udp
sudo ufw allow 1701/udp
sudo ufw allow 4500/udp

Для firewalld:

sudo firewall-cmd --add-service=ipsec --permanent
sudo firewall-cmd --add-port=1701/udp --permanent
sudo firewall-cmd --reload

6. Проблемы с NAT:

Если сервер находится за NAT, добавьте в /etc/ipsec.conf:

nat_traversal=yes
forceencaps=yes

И перезапустите strongSwan и xl2tpd.

Сравнение L2TP/IPsec с другими VPN-протоколами

L2TP/IPsec — не единственный протокол VPN, и у него есть свои сильные и слабые стороны.

Преимущества L2TP/IPsec:

• Широкая совместимость: встроенная поддержка в большинстве ОС и устройств.
• Использование IPsec обеспечивает надёжное шифрование (AES-256).
• Простота настройки на стороне клиента (особенно через GUI).

Недостатки:

• Более низкая производительность по сравнению с WireGuard из-за двойной инкапсуляции.
• Использование PSK менее безопасно, чем сертификаты.
• Порт 1701 UDP может блокироваться некоторыми провайдерами.

Сравнение с OpenVPN:

OpenVPN использует TLS и может работать через любой порт (обычно UDP 1194), что делает его более устойчивым к блокировкам. Однако он требует установки дополнительного ПО и более сложной настройки.

Сравнение с WireGuard:

WireGuard — современный протокол с высокой производительностью и простотой настройки, но он менее совместим со старыми системами. Если вам нужна максимальная совместимость, L2TP/IPsec остаётся хорошим выбором.

Рекомендации по безопасности и производительности

Чтобы обеспечить безопасность и стабильность вашего L2TP/IPsec VPN, следуйте этим рекомендациям:

• Используйте длинные и случайные PSK (не менее 18 символов).
• Регулярно обновляйте strongSwan и xl2tpd для получения исправлений безопасности.
• Ограничьте доступ к VPN-серверу по IP-адресам, если это возможно.
• Используйте современные алгоритмы шифрования (например, aes128-sha256-modp3072 или aes256-sha256-modp2048).
• Включайте DPD для автоматического разрыва неактивных соединений.
• Настраивайте брандмауэр так, чтобы разрешать только необходимые порты.
• Для повышения производительности уменьшите MTU до 1400–1460, чтобы избежать фрагментации пакетов.
• Если вы используете сервер за NAT, обязательно включите NAT-T.

Следуя этим советам, вы сможете создать надёжное и безопасное VPN-соединение, которое будет работать стабильно.

Вопросы и ответы