- L2TP sozinho não criptografa nem autentica o tráfego.
- L2TP/IPsec sobrepõe dois túneis e acrescenta bastante sobrecarga.
- Chaves compartilhadas por muitos usuários enfraquecem várias implantações comerciais.
- NAT e firewalls restritivos podem interromper a conexão.
- WireGuard, IKEv2 e OpenVPN são alternativas mais adequadas.
Funcionamento: um túnel duplo herdado
L2TP foi padronizado em 1999 e encapsula sessões PPP em UDP. O fluxo típico pode ser representado assim:
PPP → L2TP → UDP → IPsec ESP → IP
L2TP cria o túnel lógico; IPsec fornece criptografia, integridade e autenticação. As camadas são empilhadas, não projetadas como um conjunto único. O resultado pode acrescentar 80 a 130 bytes por pacote, aumentar a latência e exigir mais CPU, especialmente em roteadores e dispositivos móveis.
Portas utilizadas
- UDP 1701: tráfego L2TP;
- UDP 500: negociação IKE;
- UDP 4500: NAT Traversal para IPsec.
Depender de três elementos identificáveis facilita o bloqueio em redes corporativas, Wi-Fi públicos filtrados e conexões com NAT simétrico.
L2TP/IPsec: a segurança depende do IPsec
L2TP não oferece confidencialidade. ESP em modo túnel criptografa o conteúdo e protege sua integridade. A autenticação costuma usar uma chave previamente compartilhada ou certificados X.509.
O problema das chaves compartilhadas
Uma chave previamente compartilhada é simples de implantar. Em alguns serviços comerciais, a mesma chave é entregue a milhares de usuários. Se for fraca, estática ou vazar, deixa de ser uma prova sólida de identidade e permite ataques em larga escala contra a configuração.
Certificados individuais são mais robustos, mas exigem infraestrutura de chave pública, emissão, renovação e revogação. Esse custo operacional os torna pouco comuns em serviços voltados ao público geral.
A fragilidade não está em AES nem em ESP: nasce do modelo de implantação. Uma configuração L2TP/IPsec com certificados fortes pode proteger o tráfego, mas continua carregando os problemas de desempenho e compatibilidade do túnel duplo.
Limites técnicos
Desempenho
O encapsulamento duplo acrescenta cabeçalhos, reduz a MTU útil e aumenta a carga de processamento. Em condições comparáveis, L2TP/IPsec costuma ficar atrás de IKEv2 e WireGuard em velocidade, latência e tempo de reconexão.
NAT e redes restritivas
ESP não atravessa NAT nativamente; por isso, é encapsulado em UDP 4500. Mesmo com NAT-T, alguns firewalls corporativos, portais cativos e roteadores restritivos bloqueiam ou alteram o tráfego. L2TP também não inclui ofuscação para disfarçar sua assinatura.
Complexidade operacional
É preciso coordenar parâmetros IKE, políticas IPsec, PPP, MTU, várias portas e o método de autenticação. Cada camada cria outra oportunidade de aceitar algoritmos antigos ou definir uma política inconsistente.
Por que alguns serviços ainda o oferecem
| Motivo | Explicação |
|---|---|
| Compatibilidade nativa | Funciona sem aplicativo em alguns sistemas antigos. |
| Infraestrutura legada | O operador ainda mantém equipamentos e políticas IPsec antigos. |
| Catálogo comercial | Apresentar mais protocolos pode parecer uma vantagem mesmo sem melhorar o serviço. |
| Equipamentos especializados | Algumas empresas ou órgãos públicos não podem migrar imediatamente. |
A presença de L2TP como alternativa de emergência não condena um provedor. Apresentá-lo como moderno ou recomendado, porém, revela uma avaliação técnica deficiente.
Casos de uso residuais
Só pode ser aceito quando:
- um equipamento antigo só admite L2TP/IPsec;
- não é possível instalar um aplicativo;
- são usados certificados e uma política IPsec atual;
- a organização já planejou uma migração.
Não é adequado para:
- privacidade no dia a dia;
- dispositivos que mudam de rede;
- censura ou inspeção profunda;
- streaming, jogos ou tarefas sensíveis à latência;
- uma instalação nova.
Alternativas modernas
| Critério | L2TP/IPsec | IKEv2/IPsec | WireGuard | OpenVPN |
|---|---|---|---|---|
| Velocidade | Baixa a média | Alta | Muito alta | Média |
| Mobilidade | Deficiente | Excelente | Muito boa | Média |
| NAT | Frágil | Melhor | Muito bom | Muito bom |
| Complexidade | Alta | Média | Baixa | Média |
| Uso recomendado | Compatibilidade antiga | Integração e mobilidade | Uso diário | Compatibilidade e redes restritivas |
Nossa posição
Não recomendamos L2TP/IPsec para uso atual. Sua única justificativa razoável é uma restrição legada que impede a migração. Um serviço sério deve oferecer pelo menos WireGuard, IKEv2 ou OpenVPN e orientar o usuário para a opção adequada.
Conclusão
L2TP/IPsec pertence a uma etapa anterior das VPNs. Pode funcionar e, com certificados e algoritmos atuais, criptografar corretamente; isso não o torna uma boa escolha. A arquitetura dupla, as chaves compartilhadas, a fragilidade diante de NAT e o desempenho inferior explicam por que foi substituído.