L2TP/IPsec: pro e contro
L2TP/IPsec e stato per anni lo standard per VPN client su Windows, macOS e mobile. Combina L2TP (Layer 2 Tunneling Protocol) per il tunneling con IPsec per la cifratura. Sebbene ancora supportato nativamente, oggi presenta limiti che lo rendono meno attraente rispetto a IKEv2 e WireGuard.
Come funziona L2TP/IPsec
L2TP crea un tunnel di livello 2 incapsulando PPP, mentre IPsec in modalita transport cifra il payload. Il client si autentica con pre-shared key (PSK) oppure certificato, poi avviene la negoziazione PPP con utente e password. Il doppio incapsulamento aumenta l'overhead e riduce le prestazioni rispetto a IKEv2 puro.
Procedura passo-passo
- Installa xl2tpd e strongSwan sul server Linux con apt install xl2tpd strongswan.
- Configura /etc/ipsec.conf con conn L2TP-PSK-NAT, authby=secret e type=transport.
- Imposta la PSK in /etc/ipsec.secrets nella forma %any %any : PSK "chiavesegreta".
- Configura /etc/xl2tpd/xl2tpd.conf con ip range per i client e pppoptfile dedicato.
- Crea /etc/ppp/chap-secrets con coppie utente/password e abilita require-mschap-v2.
- Apri sul firewall UDP 500, 4500 e 1701, abilita ip_forward e NAT masquerading.
- Sul client Windows aggiungi VPN tipo L2TP/IPsec con chiave precondivisa, su iOS scegli L2TP.
Configurazione client Windows
Su Windows L2TP/IPsec si configura da Impostazioni > Rete e Internet > VPN > Aggiungi VPN. Seleziona tipo L2TP/IPsec con chiave precondivisa, inserisci server, PSK, username e password. Per usare credenziali in dominio attiva CHAP v2. Se hai problemi di connessione dietro NAT, modifica HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent aggiungendo AssumeUDPEncapsulationContextOnSendRule = 2 e riavvia.
Confronto con IKEv2
IKEv2 sostituisce L2TP/IPsec in praticamente ogni scenario moderno: prestazioni migliori, supporto mobile nativo, MOBIKE per roaming, configurazione più semplice. Se hai apparati che non supportano IKEv2 (vecchi router consumer) o software MDM legacy, L2TP/IPsec resta un ripiego. Per nuovi deployment scegli sempre IKEv2 o WireGuard.
Limiti di sicurezza
L2TP/IPsec con PSK condivisa è considerato debole per ambienti aziendali: chiunque conosca la PSK può tentare brute force sulla password utente. Documenti trapelati hanno suggerito che agenzie governative abbiano debolezze sfruttabili in alcune implementazioni IPsec con Diffie-Hellman gruppo 2. Usa sempre DH gruppo 14+ e considera la migrazione.
Migration path da L2TP
Pianifica una migrazione graduale: identifica utenti L2TP attivi, prepara nuovi profili (preferibilmente IKEv2), distribuisci in parallelo, comunica nuova procedura, monitora adozione. Mantieni il vecchio server L2TP attivo per fase di transizione 30-60 giorni, poi disabilita. Documenta lessons learned per future migrazioni di altri protocolli legacy.
Setup macOS legacy
Su macOS L2TP/IPsec si configura da System Preferences > Network > + > VPN tipo L2TP over IPsec. macOS Sonoma e successive nascondono L2TP per nuove connessioni preferendo IKEv2: anche Apple sta gradualmente deprecando il protocollo. Se hai mac in flotta valuta migrazione prioritaria.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Errore 789 Windows: indica problemi nella negoziazione IPsec: verifica PSK e regole firewall UDP 500/4500.
- Connessione cade dopo pochi minuti: L2TP non gestisce bene il NAT: prova ad attivare AssumeUDPEncapsulationContextOnSendRule a 2 nel registro.
- Velocità molto bassa: il doppio incapsulamento riduce throughput; valuta IKEv2 o WireGuard se le prestazioni sono critiche.
- PSK debole: una PSK condivisa tra utenti e vulnerabile: meglio passare ad autenticazione con certificati.
Domande frequenti
D: L2TP/IPsec è ancora sicuro?
R: Se usata con AES-256 e PSK robusta resta accettabile, ma è considerata legacy.
D: Funziona dietro NAT?
R: Si con NAT-T, ma può richiedere modifiche del registro su Windows.
D: Conviene oggi?
R: No nella maggior parte dei casi: IKEv2 e WireGuard offrono pari sicurezza e migliori prestazioni.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.