L2TP 必須搭配 IPsec：解析為何單獨使用 L2TP 無法建立安全 VPN 隧道

許多工程師在設定 VPN 時會直接選用 L2TP，卻不知道單獨使用 L2TP 完全沒有任何加密保護。理解 L2TP 必須搭配 IPsec 的原因，是建立安全 VPN 的第一步。

L2TP 只是「隧道」，不是「保險箱」

L2TP（Layer 2 Tunneling Protocol）的職責是將第二層資料幀封裝後，透過 UDP 1701 埠在網路上傳輸。它能夠讓不同網路之間建立點對點隧道，但協議本身完全不具備加密、驗證或完整性保護能力。這代表封包在傳輸途中以明文形式存在，任何中間人都可以輕易擷取並讀取內容。L2TP 的設計初衷僅為「封裝與通道建立」，安全性從來不在其規格範疇之內。

IPsec ESP 補足安全缺口，形成 L2TP/IPsec

IPsec 的 ESP（Encapsulating Security Payload）模式負責對整個 L2TP 封包進行加密與完整性驗證，兩者合併即為業界通稱的 L2TP/IPsec。實際運作流程分為兩階段：IKE（Internet Key Exchange） 先完成身份驗證與金鑰協商，接著 ESP 以 AES 等演算法對傳輸資料全程加密。所有流量最終透過 UDP 500 與 4500 埠傳遞。這種組合讓 L2TP 負責隧道結構，IPsec 負責安全保護，職責分工明確。

# Linux strongSwan 設定 L2TP/IPsec 連線（核心參數示意）
conn L2TP-PSK
    keyexchange=ikev1
    authby=secret
    esp=aes256-sha256
    left=%defaultroute
    right=YOUR_VPN_SERVER_IP
    auto=add

💡 重點整理

• L2TP 無加密：協議僅封裝資料，明文傳輸，不可單獨作為安全 VPN 使用。
• IPsec ESP 提供加密：以 AES 加密演算法保護 L2TP 封包，確保機密性與完整性。
• IKE 負責金鑰協商：在資料傳輸前完成雙向身份驗證與安全參數交換。
• L2TP/IPsec 缺一不可：兩者組合才構成符合安全標準的完整 VPN 解決方案。

L2TP 必須搭配 IPsec 是業界既定規範，而非選項。單獨部署 L2TP 等同於將資料裸奔於公網，務必確認 IPsec ESP 已正確啟用，方可將其投入生產環境。

📚 參考文獻

1. RFC 3193 – Securing L2TP using IPsec（官方規範文件，IETF）
2. strongSwan 官方文件 – L2TP/IPsec 設定指南

⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。