Das Layer 2 Tunneling Protocol (L2TP) ist ein Tunnelprotokoll aus dem Jahr 1999, das PPTP und das Cisco-Protokoll L2F (Layer 2 Forwarding) gemeinsam ablöste. Es kapselt PPP-Datenframes und transportiert sie über UDP-Port 1701 durch fremde Netze — dadurch entsteht eine VPN-Verbindung zwischen einem Client und einem Zugangsserver.
Wie L2TP funktioniert
L2TP besteht aus einem Steuerkanal, über den die Tunnel ausgehandelt werden, und einem Datenkanal für die PPP-Frames. Der Client baut die Verbindung zum L2TP Network Server (LNS) auf; dazwischen liegt oft ein L2TP Access Concentrator (LAC), der die Einwahl des Nutzers entgegennimmt. Die Kapselung erfolgt mehrstufig: PPP-Frame wird in L2TP verpackt, dieses in UDP und schließlich in ein IP-Paket.
PPP-Frame --> L2TP-Header --> UDP (Port 1701) --> IPL2TP selbst bietet weder Vertraulichkeit noch Authentifizierung. Üblich ist deshalb die Kombination L2TP/IPsec: IPsec (IKE auf UDP-Port 500, ESP) verschlüsselt die Nutzdaten, L2TP kümmert sich nur um die Kapselung. Die 2005 veröffentlichte Version L2TPv3 (RFC 3931) erweitert das Protokoll über PPP hinaus und kann auch Ethernet- oder andere Frames über Pseudowires transportieren.
Einordnung
L2TP/IPsec war jahrelang der Standard für VPN-Einwahlen und ist in Windows, macOS, iOS und Android nativ enthalten. Nachteile: UDP-Port 1701 wird von restriktiven Firewalls und NAT häufig blockiert, und die doppelte Kapselung kostet Leistung. Moderne Alternativen wie IKEv2, SSTP und WireGuard haben L2TP/IPsec inzwischen weitgehend abgelöst.
Verwandte Grundlagen: L2TP-Befehle, IP-Tunnel, GRE, VPN-Grundlagen.