L2TP（Layer Two TunnelingProtocol，第二層通道協(xié)議）是VPDN（虛擬專用撥號網(wǎng)絡(luò)）技術(shù)的一種，專門用來進行第二層數(shù)據(jù)的通道傳送，即將第二層數(shù)據(jù)單 元，如點到點協(xié)議（PPP）數(shù)據(jù)單元，封裝在IP或UDP載荷內(nèi)，以順利通過包交換網(wǎng)絡(luò)（如Internet），抵達目的地。

L2TP提供 了一種遠程接入訪問控制的手段，其典型的應用場景是：某公司員工通過PPP撥入公司本地的網(wǎng)絡(luò)訪問服務(wù)器（NAS），以此接入公司內(nèi)部網(wǎng)絡(luò)，獲取IP地址 并訪問相應權(quán)限的網(wǎng)絡(luò)資源；該員工出差到外地，此時他想如同在公司本地一樣以內(nèi)網(wǎng)IP地址接入內(nèi)部網(wǎng)絡(luò)，操作相應網(wǎng)絡(luò)資源，他的做法是向當?shù)豂SP申請 L2TP服務(wù)，首先撥入當?shù)豂SP，請求ISP與公司NAS建立L2TP會話，并協(xié)商建立L2TP隧道，然后ISP將他發(fā)送的PPP數(shù)據(jù)通道化處理，通過 L2TP隧道傳送到公司NAS，NAS就從中取出PPP數(shù)據(jù)進行相應的處理，如此該員工就如同在公司本地那樣通過NAS接入公司內(nèi)網(wǎng)。

從上 述應用場景可以看出L2TP隧道是在ISP和NAS之間建立的，此時ISP就是L2TP訪問集中器（LAC），NAS也就是L2TP網(wǎng)絡(luò)服務(wù)器 （LNS）。LAC支持客戶端的L2TP，用于發(fā)起呼叫，接收呼叫和建立隧道，LNS則是所有隧道的終點。在傳統(tǒng)的PPP連接中，用戶撥號連接的終點是 LAC，L2TP使得PPP協(xié)議的終點延伸到LNS。

L2TP本質(zhì)上是一種隧道傳輸協(xié)議，它使用兩種類型的消息：控制消息和數(shù)據(jù)隧道消息。 控制消息負責創(chuàng)建、維護及終止L2TP隧道，而數(shù)據(jù)隧道消息則負責用戶數(shù)據(jù)的真正傳輸。L2TP支持標準的安全特性CHAP和PAP，可以進行用戶身份認 證。在安全性考慮上，L2TP僅定義了控制消息的加密傳輸方式，對傳輸中的數(shù)據(jù)并不加密。

IPsec（IPSecurity），顧名思義， 是保障IP層安全的網(wǎng)絡(luò)技術(shù)，它并不是指某一項具體的協(xié)議，而是指用于實現(xiàn)IP層安全的協(xié)議套件集合。IPsec實質(zhì)上也是一種隧道傳輸技術(shù)，它將IP分 組或IP上層載荷封裝在IPsec報文內(nèi)，并根據(jù)需要進行加密和完整性保護處理，以此保證數(shù)據(jù)在公共網(wǎng)絡(luò)中傳輸過程的安全。

IPsec支持 兩種協(xié)議標準，鑒別首部（AuthenticaionHeader，AH）和封裝安全有效載荷（Encapsulation SecurityPayload，ESP）：

AH可證明數(shù)據(jù)的起源地（數(shù)據(jù)來源認證）、保障數(shù)據(jù)的完整性以及防止相同的數(shù)據(jù)包不斷重播（抗 重放攻擊）；

ESP能提供的安全服務(wù)則更多，除了上述AH所能提供的安全服務(wù)外，還能提供數(shù)據(jù)機密性，這樣可以保證數(shù)據(jù)包在傳輸過程中不被 非法識別；

AH與ESP提供的數(shù)據(jù)完整性服務(wù)的差別在于，AH驗證的范圍還包括數(shù)據(jù)包的外部IP頭。

為正確實施IPsec封 裝及解封裝IP數(shù)據(jù)包，必須建立IPsec隧道，也就是需要定義加密或鑒別算法、算法使用的密鑰、密鑰保持有效的生命期以及授權(quán)可用的數(shù)據(jù)訪問策略等信 息，這也被稱為"安全聯(lián)盟（SecurityAssociation，SA）"。

通常采用IKE（Internet KeyExchange，因特網(wǎng)密鑰交換）協(xié)議來協(xié)商建立IPsec隧道。IKE協(xié)商實際上有兩個階段：

第一階段協(xié)商，是在IPsec通信 雙方之間建立IKE的安全通道，即建立IKESA，這個過程有兩種模式，一種是常用的主模式（MainMode），能提供身份保護服務(wù)，但需要較多的消息 交互（多達六條消息），另一種是比較迅速的積極模式（AggressiveMode），但協(xié)商能力較弱，也不能提供身份保護功能；

第二階段 協(xié)商是在IKESA的保護下進行的，其目的是為特定的通信流協(xié)商IPsec安全通道，即建立IPsecSA。

由此可以看出IKE的主要作用 是負責建立、維護和終止IPsec安全通道，通過其他的一些消息交換過程，可以幫助維持IPsec通道的可用性和安全性，服務(wù)于IPsec數(shù)據(jù)的安全傳 輸。

這與L2TP控制消息幫助建立和維護L2TP數(shù)據(jù)傳輸通道的作用有異曲同工之妙。兩者都可以提供通信雙方之間的身份認證，并且都可以在 提供完整性保護和機密性服務(wù)的環(huán)境下進行安全的有關(guān)參數(shù)協(xié)商和消息交互；同時還能根據(jù)各自的特點，提供一種保活（keepalive）機制來負責協(xié)調(diào)隧道 雙方的狀態(tài)的同步，提高隧道的容錯性和穩(wěn)定性，所不同的是，IKE是充分利用IPsec通信流存在即對方活躍狀態(tài)的證明的特點，以此減少保活報文通信量， 這種方式也被稱為"DPD（DeadPeerDetection，死亡對端探測）"。此外IKE的協(xié)商能力也遠大于L2TP控制消息交互。

L2TP 與IPsec的一個最大的不同在于它不對隧道傳輸中的數(shù)據(jù)進行加密，從而沒法保證數(shù)據(jù)傳輸過程中的安全。因此這個時候，L2TP常和IPsec結(jié)合使用， 先使用L2TP封裝第二層數(shù)據(jù)，再使用IPsec封裝對數(shù)據(jù)進行加密和提供完整性保護，由此保證通信數(shù)據(jù)安全傳送到目的地。

L2TP由于封 裝的是第二層協(xié)議數(shù)據(jù)，因此可以認為是一種L2VPN（第二層VPN）技術(shù)。最新的L2TP協(xié)議草案（L2TPv3）表明，L2TP不僅可以封裝PPP數(shù) 據(jù)單元，還可以封裝其他第二層協(xié)議數(shù)據(jù)，如Ethernet（以太網(wǎng)）、FrameRelay（幀中繼）等。因此L2TP的作用已經(jīng)擴展到將異地的局域網(wǎng) 通過L2TP隧道跨越公共網(wǎng)絡(luò)連接在一起，也就是實現(xiàn)異地局域網(wǎng)互聯(lián)，這樣可以將某些局域網(wǎng)技術(shù)如VLAN（虛擬局域網(wǎng)）應用到異地局域網(wǎng)之間，從而利用 公共網(wǎng)絡(luò)來模擬局域網(wǎng)。當然其數(shù)據(jù)傳輸過程中的安全性仍然依賴于IPsec來提供。同時由于對數(shù)據(jù)進行了層層封裝，這樣難免影響效率，導致性能不高。

IPsec 封裝的是IP層數(shù)據(jù)，或是IP上層協(xié)議載荷，因此可以認為是一種構(gòu)建L3VPN（第三層VPN）的技術(shù)。其最大的特點是為數(shù)據(jù)傳輸過程提供了機密性、完整 性保護和數(shù)據(jù)源驗證，從而確保承載于公共網(wǎng)絡(luò)的VPN的安全性和可靠性，同時由于添加的協(xié)議頭并不多，且還可以利用硬件加密卡加速IPsec報文的處理， 因而效率上得到了很大的提高；此外IKE協(xié)商過程能提供比較完備的用戶身份認證，這就使得可以對IPsec用戶訪問實施有力控制，從而進一步保證了網(wǎng)絡(luò)的 安全。

因此就一般企業(yè)用戶構(gòu)建安全的VPN而言，應該使用IPsec技術(shù)，當然如果需要實現(xiàn)安全的VPDN，就應該采用 L2TP＋IPsec組合技術(shù)。