IPsec 与 L2TP/IPsec

Question

我有一个 VPN 服务，它让我可以选择通过 PPTP、IPsec 或 L2TP over IPsec 进行连接。我知道 PPTP 在安全性和加密方面较差，但我不确定这两个 IPsec 选项之间有什么区别。

有趣的是，我注意到 L2TP over IPsec 似乎比普通 IPsec 慢得多，但这可能只是服务器、它们的配置，甚至是我端的设备。

安全方面有什么区别吗？一个比另一个“更好”，还是它们只是功能相同但实现方式不同？

Answer 1

Cisco IPsec 与 L2TP（通过 IPsec）

术语Cisco IPsec只是一种营销策略，它基本上意味着在隧道模式下使用ESP 的普通IPsec，没有任何额外的封装，并使用Internet 密钥交换 协议 (IKE) 来建立隧道。IKE 提供多种身份验证选项，最常见的是预共享密钥 (PSK) 或 X.509 证书与扩展身份验证 (XAUTH) 用户身份验证相结合。

的2层隧道协议（L2TP）是具有其在PPTP起源。由于它不提供加密或强身份验证等安全功能，因此它通常与 IPsec 结合使用。为了避免过多的额外开销，通常使用传输模式中的ESP 。这意味着首先建立 IPsec 通道，再次使用 IKE，然后使用该通道建立 L2TP 隧道。之后，IPsec 连接也用于传输 L2TP 封装的用户数据。

与普通 IPsec 相比，使用 L2TP 的额外封装（添加 IP/UDP 数据包和 L2TP 标头）使其效率稍低（如果它还在隧道模式下与 ESP 一起使用，某些实现会这样做，则效率更高）。

由于在传输模式中普遍使用 ESP，因此 L2TP/IPsec 的 NAT 穿越 (NAT-T) 也存在更多问题。

L2TP 与普通 IPsec 相比的优势之一是它可以传输 IP 以外的协议。

安全方面两者相似，但取决于身份验证方法、身份验证模式（主模式或主动模式）、密钥强度、使用的算法等。

Answer 2

L2TP 与 PPTP

L2TP/IPSec 和 PPTP 在以下方面类似：

提供一种逻辑传输机制来发送 PPP 有效载荷；提供隧道或封装，以便基于任何协议的 PPP 有效载荷可以通过 IP 网络发送；依靠PPP连接过程进行用户认证和协议配置。

关于 PPTP 的一些事实：

• 好处
  • PPTP 易于部署
  • PPTP 使用 TCP，这种可靠的解决方案允许重新传输丢失的数据包
  • 支持PPTP
• 缺点
  • PPTP 使用 MPPE 降低安全性（最高 128 位）
  • 数据加密在 PPP 连接过程（因此，PPP 身份验证）完成后开始
  • PPTP 连接仅需要通过基于 PPP 的身份验证协议的用户级身份验证

关于 L2TP（通过 PPTP）的一些事实：

• 好处
  • L2TP/IPSec 数据加密在 PPP 连接过程之前开始
  • L2TP/IPSec 连接使用 AES（最多 256 位）或 DESU 最多三个 56 位密钥）
  • L2TP/IPSec 连接要求通过证书进行计算机级身份验证和通过 PPP 身份验证协议进行用户级身份验证，从而提供更强的身份验证
  • L2TP 使用 UDP。它速度更快，但可靠性较差，因为它不会重新传输丢失的数据包，常用于实时 Internet 通信
  • L2TP 比 PPTP 更“防火墙友好”——这是外联网协议的一个重要优势，因为大多数防火墙不支持 GRE
• 坏处
  • L2TP 需要证书基础设施来颁发计算机证书

总结一下：

没有明显的赢家，但 PPTP 更老、更轻、在大多数情况下都有效，并且客户端很容易预先安装，这使它在通常非常容易部署和配置（没有 EAP）方面具有优势。

但是对于大多数国家，如阿联酋、阿曼、巴基斯坦、也门、沙特阿拉伯、土耳其、中国、新加坡、黎巴嫩 PPTP 被 ISP 或政府阻止，因此他们需要 L2TP 或 SSL VPN

参考：http : //vpnblog.info/pptp-vs-l2tp.html

IPSec VS L2TP/IPSec

人们之所以使用L2TP，是因为需要为用户提供登录机制。IPSec 本身是指网关到网关场景中的隧道协议（仍然有两种模式，隧道模式和传输模式）。因此供应商使用 L2TP 来允许人们在客户端到网络的场景中使用他们的产品。因此，他们仅将 L2TP 用于日志记录，而会话的其余部分将使用 IPSec。您必须考虑其他两种模式；预共享密钥与证书。

参考：http : //seclists.org/basics/2005/Apr/139

IPsec隧道模式

在隧道模式下使用 Internet 协议安全 (IPsec) 时，IPsec 本身仅为 IP 流量提供封装。使用 IPsec 隧道模式的主要原因是与其他不支持 L2TP over IPsec 或 PPTP VPN 隧道的路由器、网关或终端系统的互操作性。Virtual Private Network Consortium Web 站点上提供了互操作性信息。

参考：http : //forums.isaserver.org/m_2002098668/mpage_1/key_/tm.htm#2002098668