レイヤー2トンネリングプロトコル

コンピュータネットワークにおいて、レイヤー2トンネリングプロトコル（L2TP）は、仮想プライベートネットワーク（VPN）をサポートするため、またはISPによるサービス配信の一部として使用されるトンネリングプロトコルです。これは、独自の制御メッセージ（オプションの事前共有秘密を使用）に対してのみ暗号化（「隠蔽」）を使用し、それ自体では暗号化やコンテンツの機密性を提供しません。むしろ、レイヤー2（暗号化されている可能性があります）のトンネルを提供し、トンネル自体はIPsecなどのレイヤー3暗号化プロトコルを介して渡される場合があります。^[1]

1999 年 8 月に提案標準 RFC 2661 として公開された L2TP は、ポイントツーポイント通信用の 2 つの古いトンネリング プロトコル、つまりシスコのレイヤー 2 転送プロトコル(L2F) とマイクロソフトの^[2] ポイントツーポイント トンネリング プロトコル(PPTP) に主に由来しています。このプロトコルの新しいバージョンであるL2TPv3は、2005 年に提案標準 RFC 3931 として登場しました。L2TPv3 は、追加のセキュリティ機能、改善されたカプセル化、およびIP ネットワーク上で単純なポイントツーポイント プロトコル(PPP)以外のデータ リンク(フレーム リレー、イーサネット、ATMなど) を伝送する機能を提供します。

ペイロードと L2TP ヘッダーを含む L2TP パケット全体は、ユーザー データグラム プロトコル(UDP) データグラム内で送信されます。TCP ではなく UDP で送信する利点は、TCP メルトダウン問題を回避できることです。^{[3] [4]} PPP セッションは L2TP トンネル内で伝送するのが一般的です。L2TP は、それ自体では機密性や強力な認証を提供しません。IPsecは、機密性、認証、整合性を提供することで L2TP パケットを保護するためによく使用されます。これら 2 つのプロトコルの組み合わせは、一般に L2TP/IPsec と呼ばれます (後述)。

L2TP トンネルの 2 つのエンドポイントは、L2TP アクセス コンセントレータ (LAC) と L2TP ネットワーク サーバ (LNS) と呼ばれます。LNS は新しいトンネルを待機します。トンネルが確立されると、ピア間のネットワーク トラフィックは双方向になります。ネットワークに役立てるために、上位レベルのプロトコルは L2TP トンネルを介して実行されます。これを容易にするために、PPP などの上位レベルのプロトコルごとにトンネル内に L2TPセッションが確立されます。LAC または LNS のいずれかがセッションを開始できます。各セッションのトラフィックは L2TP によって分離されるため、1 つのトンネルで複数の仮想ネットワークを設定できます。

L2TP トンネル内で交換されるパケットは、制御パケットまたはデータ パケットのいずれかに分類されます。L2TP は制御パケットに対して信頼性機能を提供しますが、データ パケットに対しては信頼性を提供しません。必要な場合は、L2TP トンネルの各セッション内で実行されるネストされたプロトコルによって信頼性を提供する必要があります。

^{L2TPを使用すると、インターネットやサービスプロバイダーのネットワークなどの共有インフラストラクチャを使用して、仮想プライベートダイヤルアップネットワーク（VPDN） [5]}を作成し、リモートクライアントを企業ネットワークに接続できます。

L2TP トンネルは、PPP セッション全体にまたがって拡張することも、2 セグメント セッションの 1 つのセグメントのみにまたがって拡張することもできます。これは、次の 4 つの異なるトンネリング モデルで表すことができます。

• 自発的トンネル
• 強制トンネル - 着信
• 強制トンネル - リモートダイヤル
• L2TPマルチホップ接続^[6]

L2TP パケットは次の要素で構成されます。

フィールドの意味:

フラグとバージョン

データ/制御パケットと長さ、シーケンス、オフセット フィールドの存在を示す制御フラグ。

長さ（オプション）

メッセージの合計長さ（バイト単位）。長さフラグが設定されている場合にのみ存在します。

トンネルID

制御接続の識別子を示します。

セッションID

トンネル内のセッションの識別子を示します。

Ns（オプション）

このデータまたは制御メッセージのシーケンス番号。0 から始まり、送信されるメッセージごとに 1 ずつ増加します (モジュロ 2 ^{16 )。シーケンス フラグが設定されている場合にのみ存在します。}

Nr (オプション)

受信予定メッセージのシーケンス番号。Nr は、最後に受信した順序どおりのメッセージの Ns に 1 を加えた値 (モジュロ 2 ¹⁶ ) に設定されます。データ メッセージでは、Nr は予約されており、存在する場合 (S ビットで示される)、受信時に無視する必要があります。

オフセットサイズ（オプション）

L2TP ヘッダーの後のペイロード データの配置場所を指定します。オフセット フィールドが存在する場合、L2TP ヘッダーはオフセット パディングの最後のバイトの後に終了します。このフィールドは、オフセット フラグが設定されている場合に存在します。

オフセットパッド（オプション）

オフセット サイズによって指定される可変長。このフィールドの内容は未定義です。

ペイロードデータ

可変長（最大ペイロードサイズ = UDPパケットの最大サイズ − L2TPヘッダーのサイズ）

L2TP 接続のセットアップ時に、各方向のトンネルとセッションを確立するために、サーバーとクライアントの間で多くの制御パケットが交換されます。一方のピアは、これらの制御パケットを通じて、もう一方のピアに特定のトンネルとセッション ID を割り当てるように要求します。次に、このトンネルとセッション ID を使用して、圧縮された PPP フレームをペイロードとしてデータ パケットが交換されます。

自発的トンネリング方式でトンネルとセッションを確立する前のハンドシェイクのために、LACとLNS間で交換されるL2TP制御メッセージのリストは次のとおりです。

L2TP には機密性が欠けているため、多くの場合、IPsecと一緒に実装されます。これは L2TP/IPsec と呼ばれ、IETF RFC 3193 で標準化されています。L2TP/IPsec VPN を設定するプロセスは次のとおりです。

1. IPsecセキュリティ アソシエーション(SA)のネゴシエーション。通常はインターネット キー交換(IKE) を介して行われます。これは UDP ポート 500 を介して実行され、通常は両端で共有パスワード (いわゆる「事前共有キー」)、公開キー、またはX.509証明書のいずれかが使用されますが、他のキー方法も存在します。
2. トランスポート モードでのカプセル化セキュリティ ペイロード(ESP) 通信の確立。ESP の IP プロトコル番号は 50 です (TCP の 6 と UDP の 17 を比較してください)。この時点では、安全なチャネルが確立されていますが、トンネリングは行われていません。
3. SA エンドポイント間の L2TP トンネルのネゴシエーションと確立。実際のパラメータのネゴシエーションは、IPsec 暗号化の範囲内で SA の安全なチャネルを介して行われます。L2TP は UDP ポート 1701 を使用します。

プロセスが完了すると、エンドポイント間の L2TP パケットは IPsec によってカプセル化されます。L2TP パケット自体は IPsec パケット内にラップされて隠されているため、元の送信元と宛先の IP アドレスはパケット内で暗号化されます。また、エンドポイント間のファイアウォールで UDP ポート 1701 を開く必要はありません。これは、内部パケットは IPsec データが復号化されて取り除かれるまで処理されないためです。これはエンドポイントでのみ行われます。

L2TP/IPsec で混乱を招きやすいのは、トンネルとセキュア チャネルという用語の使用です。トンネル モードという用語は、あるネットワークの未変更のパケットを別のネットワーク経由で転送できるチャネルを指します。L2TP/PPP の場合、L2TP/PPP パケットを IP 経由で転送できます。セキュア チャネルとは、すべてのデータの機密性が保証される接続を指します。L2TP/IPsec では、最初に IPsec がセキュア チャネルを提供し、次に L2TP がトンネルを提供します。IPsec はトンネル プロトコルも指定しますが、これは L2TP トンネルを使用する場合には使用されません。

Windows は、 Windows 2000以降、L2TP をネイティブでサポートしています (コントロール パネルで構成可能) 。Windows Vista では、2 つの代替ツールが追加されました。「セキュリティが強化された Windows ファイアウォール」(WFwAS) と呼ばれるMMC スナップインと「 netsh advfirewall」コマンド ライン ツールです。WFwAS コマンドと netsh コマンドの両方の制限の 1 つは、サーバーを IP アドレスで指定する必要があることです。Windows 10 では、「Add-VpnConnection」および「Set-VpnConnectionIPsecConfiguration」PowerShellコマンドが追加されました。サーバーが NAT-T デバイスの背後にある場合は、クライアントとサーバーにレジストリ キーを作成する必要があります。[1]

L2TP は、 ADSLやケーブルなどのインターネット サービスを再販する際に ISP によってよく使用されます。エンド ユーザーから、パケットは卸売ネットワーク サービス プロバイダーのネットワークを経由して、プロトコル コンバータとルーターを組み合わせた Broadband Remote Access Server ( BRAS ) と呼ばれるサーバーに送られます。従来のネットワークでは、エンド ユーザーの顧客宅内機器から BRAS へのパスはATMネットワーク経由になる場合があります。そこから IP ネットワーク経由で、L2TP トンネルが BRAS (LAC として機能) から LNS まで実行されます。LNS は、最終的な宛先 ISP の IP ネットワークの境界にあるエッジ ルーターです。^[a]

• RFC 2341 Cisco レイヤー 2 転送 (プロトコル)「L2F」 (L2TP の前身)
• RFC 2637ポイントツーポイント トンネリング プロトコル (PPTP)
• RFC 2661レイヤー 2 トンネリング プロトコル「L2TP」
• RFC 2809 RADIUS 経由の L2TP 強制トンネリングの実装
• RFC 2888 L2TP による安全なリモート アクセス
• RFC 3070フレームリレー上のレイヤー2トンネリングプロトコル（L2TP）
• RFC 3145 L2TP 切断原因情報
• RFC 3193 IPsecを使用した L2TP のセキュリティ保護
• RFC 3301レイヤー2トンネリングプロトコル（L2TP）：ATMアクセスネットワーク
• RFC 3308レイヤー 2 トンネリング プロトコル (L2TP) 差別化サービス
• RFC 3355レイヤー 2 トンネリング プロトコル (L2TP) オーバー ATM アダプテーション レイヤー 5 (AAL5)
• RFC 3371レイヤー 2 トンネリング プロトコル「L2TP」管理情報ベース
• RFC 3437 PPP リンク制御プロトコルネゴシエーションのためのレイヤー 2 トンネリング プロトコル拡張
• RFC 3438レイヤー 2 トンネリング プロトコル (L2TP) インターネット割り当て番号: インターネット割り当て番号機関 (IANA) の考慮事項の更新
• RFC 3573レイヤー 2 トンネリング プロトコル (L2TP) におけるモデム保留状態のシグナリング
• RFC 3817レイヤ 2 トンネリング プロトコル (L2TP) PPP over Ethernet (PPPoE) 用アクティブ ディスカバリ リレー
• RFC 3931レイヤー 2 トンネリング プロトコル - バージョン 3 ( L2TPv3 )
• RFC 4045レイヤ 2 トンネリング プロトコル (L2TP) でのマルチキャスト トラフィックの効率的な伝送をサポートするための拡張
• RFC 4951レイヤー 2 トンネリング プロトコル (L2TP) のフェイルオーバー拡張「フェイルオーバー」

• IPsec
• レイヤー2転送プロトコル
• ポイントツーポイント トンネリング プロトコル
• ポイントツーポイントプロトコル
• 仮想拡張LAN

• Cisco: Cisco L2TP ドキュメント、Cisco の技術概要もお読みください
• オープンソースおよび Linux: xl2tpd、Linux RP-L2TP、OpenL2TP、l2tpns、l2tpd (非アクティブ)、Linux L2TP/IPsec サーバー、FreeBSD マルチリンク PPP デーモン、OpenBSD npppd(8)、ACCEL-PPP - Linux 用 PPTP/L2TP/PPPoE サーバー
• Microsoft: Windows 2000 以降に付属する組み込みクライアント、Windows 98/Windows Me/Windows NT 4.0 用の Microsoft L2TP/IPsec VPN クライアント
• Apple: Mac OS X 10.3 以降に含まれる組み込みクライアント。
• Cisco.com の VPDN

• IANAがL2TPに割り当てた番号
• L2TP 拡張ワーキング グループ (l2tpext) - (将来の標準化作業が調整されている場所)
• Linux を L2TP/IPsec VPN クライアントとして使用する
• OpenBSD と npppd を使用した L2TP/IPSec
• L2TP、PPTP、OpenVPN の比較