L2TP, PPTP и IKEv2: что это за протоколы, почему они не годятся для России и чем опасны бесплатные L2TP-серверы

L2TP/IPsec, PPTP и IKEv2 — старые стандартные VPN-протоколы, встроенные в Windows, iPhone, Mac и роутеры. Маскировки у них нет, и в России их блокируют с 2023 года. Бесплатные L2TP-серверы из списков — чужие машины с общим паролем: их владелец видит, куда вы ходите.

На этой странице

L2TP, PPTP и IKEv2 — три стандартных VPN-протокола, которые встроены в Windows, iPhone, Mac, Android и роутеры. Их можно настроить без отдельного приложения: ввёл адрес сервера, логин, пароль — и подключился. Поэтому их любят компании и поэтому по запросам вроде «l2tp free vpn» ищут бесплатные серверы для встроенного VPN. Ниже — что это за протоколы, чем они отличаются, почему из России к зарубежным серверам они почти не подключаются и чем рискуете на бесплатных L2TP-серверах из списков.

Что такое PPTP

PPTP — самый старый из распространённых VPN-протоколов, его описание (RFC 2637) вышло в 1999 году. Стандартом IETF он так и не стал — это информационный документ. Управление идёт по TCP на порт 1723, а данные — внутри GRE, отдельного сетевого протокола без портов, из-за которого PPTP плохо проходит через домашние роутеры и NAT.

Главная беда PPTP — защита. Обычно он использует аутентификацию MS-CHAPv2, и в 2012 году на конференции DEF CON исследователи показали, что её можно свести к подбору одного ключа DES и расшифровать трафик PPTP «со стопроцентным успехом». Microsoft в бюллетене от 20 августа 2012 года признала: уязвимы решения, где PPTP с MS-CHAPv2 — единственная защита, и предложила либо обернуть его в PEAP, либо перейти на L2TP, IKEv2 или SSTP. Обновления Microsoft выпускать не стала: дело в самой схеме, а не в ошибке программы. Apple убрала PPTP из iOS 10 и macOS Sierra и не рекомендует его для защищённой связи. В Windows PPTP пока остался.

Что такое L2TP и L2TP/IPsec

L2TP — протокол туннелирования из того же поколения (L2TPv2 — 1999 год, L2TPv3 — 2005-й). Главное, что о нём нужно знать: L2TP сам ничего не шифрует. Стандарт RFC 3193 прямо пишет, что L2TP «не определяет механизмов защиты туннеля», а шифрование PPP внутри него — «слабое решение». Поэтому L2TP почти всегда используют с IPsec: IPsec шифрует, L2TP строит туннель. Отсюда название L2TP/IPsec.

Для подключения IPsec нужны UDP-порты 500 и 4500, а внутри идёт L2TP на порт 1701. Проверка подлинности бывает двух видов: по сертификатам — надёжно, или по общему ключу (PSK, «общий ключ IPsec») — проще, и именно так устроено большинство домашних и бесплатных серверов. Из-за двойной упаковки (PPP внутри L2TP внутри IPsec) у L2TP/IPsec больше накладных расходов, чем у современных протоколов.

Что такое IKEv2 и IPsec

IKEv2 — протокол обмена ключами для IPsec. Первая его редакция вышла в 2005 году, нынешний стандарт — RFC 7296 2014 года. Вместе с IPsec он даёт полноценный VPN без L2TP. Сильная сторона IKEv2 — расширение MOBIKE (RFC 4555): соединение переживает смену адреса — например, когда телефон переходит с Wi-Fi на мобильную сеть, — и VPN не нужно переподключать. IKEv2 встроен в iPhone, iPad, Mac, Windows и Android, работает по UDP-портам 500 и 4500 и считается надёжным протоколом для корпоративного доступа.

Ещё один встроенный в Windows протокол — SSTP от Microsoft. Он идёт через HTTPS по TCP и поэтому проходит там, где закрыт UDP, но маскировки под обычный сайт у него нет. Надёжных данных о том, как SSTP работает из России, мы не нашли.

Сравнение: PPTP, L2TP/IPsec и IKEv2

	PPTP	L2TP/IPsec	IKEv2/IPsec
Стандарт	RFC 2637, 1999 (информационный)	RFC 2661, 1999; с IPsec — RFC 3193, 2001	RFC 7296, 2014
Порты	TCP 1723 и GRE	UDP 500, 4500, 1701	UDP 500, 4500
Шифрование	MPPE с MS-CHAPv2 — взломано	IPsec; сам L2TP не шифрует	IPsec
Проверка сервера	Нет надёжной	Общий ключ или сертификат	Сертификат или общий ключ
Смена сети без разрыва	Нет	Нет	Да (MOBIKE)
Встроен в	Windows, роутеры; Apple убрала	iPhone, Mac, Windows, Android, роутеры	iPhone, Mac, Windows, Android, роутеры
Маскировка	Нет	Нет	Нет
Из России к зарубежному серверу	Небезопасен в любом случае	С декабря 2025 года, по данным РБК, блокируют в первую очередь	Массово блокируют с августа 2023 года

Почему L2TP, PPTP и IKEv2 не годятся для России

У всех трёх нет маскировки: стандартные порты, стандартные заголовки, узнаваемое начало соединения. Для системы фильтрации это самые простые случаи.

Август 2023. По данным «Важных историй», в России массово перестали работать OpenVPN, WireGuard и IKEv2. Исследователь ValdikSS тогда писал на Хабре, что блокируют, «по-видимому, все популярные стандартизированные (корпоративные) VPN-протоколы».
Декабрь 2025. По данным РБК, которые пересказал Anti-Malware, Роскомнадзор обновил настройки ТСПУ и стал в первую очередь блокировать SOCKS5, VLESS и L2TP.
2026 год. Надёжных датированных данных отдельно по L2TP, IKEv2 и PPTP мы не нашли.

Есть и общие причины, от протокола не зависящие: адреса популярных серверов блокируют по IP, а при белых списках на мобильном интернете не подключается никакой VPN с сервером за рубежом — Работает ли VPN при белых списках. Если встроенный VPN в телефоне раньше работал, а теперь нет, дело, скорее всего, не в настройках.

Бесплатные L2TP-серверы: почему это плохая идея

По запросам «l2tp free vpn», «бесплатные l2tp серверы» и «pptp vpn сервера бесплатно» находятся списки адресов с одинаковыми логином, паролем и общим ключом. Чаще всего это серверы VPN Gate — исследовательского проекта японского Университета Цукубы, где серверы держат добровольцы. В его инструкции для L2TP сказано: имя пользователя, пароль и общий ключ — «vpn». Что важно знать, прежде чем подключаться к таким серверам:

Журналы. VPN Gate пишет, что хранит журналы подключений «три месяца или дольше»: адрес вашего устройства и имена сайтов, на которые вы ходили по HTTP и HTTPS. На серверах добровольцев журналы пакетов хранятся две недели и больше, а заголовки пакетов записываются у всех. По закону журналы выдают полиции, прокурору, адвокату или суду.
Владелец сервера видит, куда вы ходите. Это чужая машина: кто её держит, вы не знаете. Шифрование действует только до сервера — дальше трафик идёт как обычно, и всё незашифрованное владелец видит целиком.
Общий ключ ничего не защищает. Ключ, известный всем, не доказывает, что вы подключились к тому самому серверу: знающий его может выдать себя за сервер, если окажется на пути вашего трафика — например, в общем Wi-Fi. Разработчики strongSwan предупреждают: старый режим IKEv1 Aggressive Mode с общим ключом «изначально ущербен», потому что хеш ключа передаётся открыто, а IKEv2 с недостаточно сложным общим ключом уязвим к атаке «человек посередине».
Серверы живут недолго. Адреса из публичных списков быстро перегружаются, исчезают и попадают под блокировку, а из России L2TP к зарубежным серверам и так блокируют.

Бывает, что серверы с общим логином раздают и частные люди в соцсетях. Это тот же случай: незнакомый человек с доступом к вашему трафику. Подробнее про риски бесплатных VPN — Чем опасны бесплатные VPN и как выбрать, про VPN Gate и SoftEther — SoftEther VPN и VPN Gate: что это.

L2TP и PPTP на роутере

В настройках роутеров L2TP и PPTP встречаются в двух ролях. Иногда это способ подключиться к домашнему провайдеру — его настраивают по инструкции провайдера, и к зарубежному VPN он отношения не имеет. Иногда — VPN-клиент или VPN-сервер роутера, например чтобы из дома зайти в офисную сеть. Для доступа к своей сети внутри страны это рабочий вариант. Для подключения к зарубежному серверу из России — нет, по тем же причинам, что выше. Демьяныч роутеры не поддерживает: У меня VPN на роутере — можно ли вместе с Демьянычем.

Чем заменить L2TP, PPTP и IKEv2

Для доступа к рабочей сети, где ничего не блокируют, IKEv2 остаётся хорошим выбором, а PPTP стоит заменить в любом случае. Для подключения из России к зарубежным сайтам нужны протоколы с маскировкой: VLESS с Reality, AmneziaWG и другие — их сравнение в Протоколы VPN: сравнение и что работает в России.

Если свой сервер не нужен, а нужно, чтобы просто работало, — у Демьяныча VLESS с Reality и приложения sing-box и Happ. Логины, пароли и общие ключи вводить не нужно: добавляете подписку, и приложение само получает серверы и обновляет их. Серверы проверяются из обычных российских сетей каждые 2 минуты, а неответивший автоматика меняет на запасной. Российские сайты идут напрямую, зарубежные — через наши серверы в Европе. Как это устроено — Как это работает: включил и забыл; попробовать можно 3 дня бесплатно, без карты.

Частые вопросы

Что такое L2TP free VPN и можно ли им пользоваться?

Так называют бесплатные серверы L2TP/IPsec из публичных списков: адрес, логин, пароль и общий ключ одни на всех. Подключиться можно встроенным VPN в Windows, iPhone или Android, но это чужой сервер, владелец которого видит, куда вы ходите, а общий ключ не защищает от подмены сервера. Из России L2TP к зарубежным серверам к тому же блокируют.

Чем L2TP отличается от IPsec?

L2TP только строит туннель и сам ничего не шифрует — это прямо сказано в стандарте RFC 3193. Шифрует IPsec, поэтому их почти всегда используют вместе: L2TP/IPsec. IPsec бывает и без L2TP — например, в связке с IKEv2.

Безопасен ли PPTP?

Нет. В 2012 году исследователи показали, что трафик PPTP с аутентификацией MS-CHAPv2 можно расшифровать в любом случае, а Microsoft в своём бюллетене предложила защищать его или переходить на L2TP, IKEv2 или SSTP. Apple убрала PPTP из iOS 10 и macOS Sierra.

Работает ли IKEv2 в России?

К зарубежным серверам — как правило, нет: IKEv2 массово блокируют с августа 2023 года вместе с OpenVPN и WireGuard. Маскировки у IKEv2 нет, его порты и заголовки стандартные. Для доступа к рабочей сети без блокировок это по-прежнему хороший протокол.

Какой общий ключ IPsec нужен для VPN?

Тот, который дал владелец сервера. На своём или рабочем сервере это секрет, известный только вам и администратору. На публичных бесплатных серверах ключ один на всех и опубликован — поэтому он ничего не доказывает и от подмены сервера не защищает.

Что такое SSTP VPN?

SSTP — VPN-протокол Microsoft, который работает через HTTPS на TCP и встроен в Windows. Он проходит там, где закрыт UDP, но маскировки под обычный сайт у него нет, а приложения для телефонов — только сторонние. Надёжных данных о том, как SSTP работает из России, мы не нашли.