L2TP（Layer 2 Tunneling Protocol，第二层隧道协议）是一种VPN 隧道协议，用来在公网上建立一条虚拟的“隧道”，把远程用户或分支机构安全地连接到内部网络。
它本身不加密，所以实际使用时通常和 IPsec 搭配，合称 L2TP/IPsec。IPsec 负责加密和认证，L2TP 负责建立隧道和传输数据。
工作方式：
你的设备 → L2TP 隧道 → VPN 服务器 → 内部网络/互联网
其中 IPsec 给隧道里的数据加上加密和完整性保护。
关键点：
· 协议层次：L2TP 属于第二层隧道协议，传输 PPP 帧。
· 端口：L2TP 默认用 UDP 1701；IPsec 用 UDP 500、UDP 4500（NAT-T）和 ESP/AH。
· 加密：L2TP 自己不加密；必须靠 IPsec 提供加密。
· 认证：PPP 层支持 PAP、CHAP、MS-CHAPv2、EAP 等；IPsec 常用预共享密钥（PSK）或证书。
· 支持协议：可承载 IP、IPX、AppleTalk 等，但现在主要是 IP。
· NAT 穿越：IPsec 通过 NAT-T 解决 NAT 环境问题。
优点：
· Windows、macOS、iOS、Android 等系统大多内置支持
· 配置相对简单
· 支持多种认证方式
· 能建立远程访问和站点到站点 VPN
缺点：
· 单独使用不安全，必须配 IPsec
· 速度可能比 WireGuard、OpenVPN 慢
· UDP 1701 和 IPsec 端口容易被防火墙阻断
· 安全性依赖 IPsec 配置，弱预共享密钥有风险
· 在部分网络环境下可能不稳定或被封锁
常见用途：
· 远程办公接入公司内网
· 分支机构互联
· 个人 VPN 翻墙/隐私保护（但易被识别和封锁）
· 旧式企业 VPN 部署
和代理、SOCKS5、HTTP 的区别：
· HTTP 代理：应用层代理，主要转发 HTTP/HTTPS，通常不加密整个设备流量。
· SOCKS5 代理：更底层的代理，支持 TCP/UDP，但不加密。
· L2TP/IPsec：是 VPN 隧道，通常加密整个设备的网络流量，工作层次更低，更接近网络层/链路层。
一句话总结：L2TP 是一种建立 VPN 隧道的协议，本身不加密，通常和 IPsec 一起用，形成 L2TP/IPsec VPN，用来安全地把设备接入远程网络。