L2TP（Layer 2 Tunneling Protocol）
更新日:
用語解説
PPPフレームをIP網等の上でトンネリングし、利用者のPPPセッションを物理的な接続地点とは別の装置まで延伸するデータリンク層のトンネルプロトコルです。L2TP自体は通信内容の暗号化や完全性保護を提供しないため、安全なリモートアクセスではIPsec等と組み合わせます。
■ 試験で押さえるポイント
LAC（L2TP Access Concentrator）は利用者側のPPP接続を受けてL2TPへ収容し、LNS（L2TP Network Server）はトンネルの先でPPPセッションを終端します。一つのL2TPトンネル内へ複数のセッションを多重化できます。
制御メッセージはトンネルとセッションの確立・維持・解放を行い、データメッセージはPPPフレームを運びます。Tunnel IDとSession IDは各終端で対応関係を管理するための識別子で、IPアドレスそのものではありません。
L2TPv2をUDP/IPで運ぶ場合、宛先ポートには通常UDP 1701を使います。TCPではなくUDP上で制御・データを運ぶため、ファイアウォールやNATではL2TPと、併用するIPsecの通信を考慮します。
L2TP単体のトンネル終端認証やPPP認証だけでは、転送パケットの盗聴・改ざん・注入を十分に防げません。L2TP/IPsecではIPsecがパケットの機密性・完全性・相手認証を担い、L2TPがPPPセッションを運びます。
PPP認証はトンネル内の利用者を認証し、IPsecのIKE認証は主にIPsecピアを認証するため、主体と保証範囲が異なります。共有鍵、証明書、利用者資格情報の管理を分けて設計します。
PPP、L2TP、UDP、IP及びIPsecのヘッダが加わると実効MTUが低下します。大きなパケットだけ失敗する場合はPath MTU Discovery、MSS、断片化及びNAT traversalを確認します。
IPsec単独のトンネルモードでもIPパケットを保護できます。PPP機能や既存L2TP終端が必要なのかを確認し、単にVPNだから常にL2TP/IPsecを選ぶのではなく、運用性と対応端末を含めて方式を選びます。
■ 過去問での着眼点
L2TPはPPPセッションをトンネルで運びますが、L2TP自体にはパケットの暗号化・完全性保護がないため、通常はIPsec等と組み合わせます。LACとLNS、トンネルとその中の複数セッション、制御メッセージとデータメッセージを区別します。L2TPはトンネリング、IPsecは通信の保護という役割分担を押さえます。
例: 在宅端末から社内LNSへL2TP/IPsec接続する場合、IPsecでL2TPのUDPパケットを暗号化・認証し、その内側でPPPセッションを運びます。UDP 1701だけを通してもIPsec設定がなければ、安全なVPNにはなりません。