VPN con L2TP/IPsec: compatibilidad y seguridad

Qué protege L2TP/IPsec y qué no

L2TP crea un túnel para transportar el tráfico, pero no cifra por sí mismo el contenido ni ofrece una autenticación robusta. El cifrado lo aporta IPsec, normalmente mediante ESP; por eso verás el nombre combinado L2TP/IPsec. Si configuras L2TP sin esa protección, no obtienes las garantías de privacidad que buscas en una VPN.

L2TP se publicó como estándar propuesto en 1999 y utiliza UDP, normalmente en el puerto 1701. Su papel es organizar el túnel, mientras que IPsec protege los paquetes que lo atraviesan. Esta separación importa cuando configuras un servidor o un cortafuegos: permitir L2TP no equivale a proteger la conexión.

La combinación no está rota por definición. Puede cumplir su función si el cliente y el servidor negocian IPsec correctamente y la autenticación está bien configurada. El problema es que algunas opciones heredadas, sobre todo las claves compartidas débiles y los algoritmos antiguos, reducen esa protección. Si un equipo solo te ofrece L2TP/IPsec, conviene revisar cómo autentica antes de darlo por seguro.

Por qué sigue apareciendo en equipos antiguos

Una ventaja práctica es que lleva mucho tiempo integrado en sistemas y equipos de red. Windows incluye compatibilidad nativa desde Windows 2000 y macOS desde Mac OS X 10.3. Así, un ordenador antiguo puede conectarse sin instalar un cliente adicional, y algunos routers todavía ofrecen L2TP/IPsec en sus menús de VPN.

En Windows, el perfil debe coincidir con el método del servidor: puede pedir una clave precompartida o un certificado. En equipos actuales también pueden aparecer alternativas como IKEv2. No des por hecho que dos perfiles llamados L2TP usan la misma autenticación; confirma con quien administra el servidor qué opción debes escoger.

Esta compatibilidad tiene valor en una red de empresa, un centro educativo o un proveedor que exige el protocolo, y en dispositivos cuyo firmware no admite alternativas. En cambio, si estás montando una conexión nueva y puedes elegir, no merece la pena quedarse con L2TP solo porque aparezca en una lista. IKEv2 suele ser una opción más actual y WireGuard puede serlo si tu sistema y el servicio lo admiten.

Clave compartida o certificado: elige con cuidado

Una clave precompartida, o PSK, es un secreto que conocen el cliente y el servidor para iniciar la negociación de IPsec. Es sencilla de distribuir, pero resulta delicada si es corta, reutilizada o compartida por muchas personas. La especificación RFC 3193 desaconseja usar una clave grupal para autenticar a los usuarios y prefiere los certificados siempre que sea posible.

El motivo no es solo que alguien pueda adivinar una contraseña débil. En configuraciones con IKEv1, una PSK de poca entropía puede quedar expuesta a ataques de diccionario sin conexión. Además, RFC 3193 advierte de riesgos de intermediario con claves precompartidas en el modo principal cuando se usan para acceso remoto. El modo agresivo también expone más información de la negociación, así que no es una solución para compensar una clave floja.

Si el administrador permite certificados, pregunta cómo obtenerlos y renovarlos; no instales certificados enviados por canales que no puedas verificar. Si debes usar una PSK, pide una cadena larga, aleatoria y exclusiva para ese acceso. No reutilices la contraseña de tu cuenta ni compartas una clave de grupo en un entorno donde se pueda emitir una por dispositivo. La autenticación de usuario PPP sigue siendo relevante: autenticar únicamente el equipo no identifica necesariamente a la persona que usa el túnel.

Puertos, NAT y el ajuste de Windows que debes evitar

En una configuración habitual, IKEv1 usa UDP 500 para negociar IPsec y UDP 4500 cuando hace falta atravesar NAT. ESP, que lleva los datos protegidos, es el protocolo IP número 50; no es un puerto TCP o UDP. La conectividad depende de que el router y el cortafuegos permitan el intercambio que realmente necesita el servidor.

El puerto UDP 1701 requiere más cuidado. Algunas guías lo incluyen, sobre todo para servidores expuestos directamente a Internet, pero otras recomiendan aceptar ese tráfico solo cuando ya está protegido por IPsec. No abras una regla general para 1701 sin instrucciones concretas del administrador. Si la conexión falla, revisa primero los requisitos del servidor y los registros del cortafuegos, en lugar de añadir puertos al azar.

Los routers con NAT pueden complicar la conexión, especialmente si hay varios clientes o un equipo antiguo. Antes de tocar el registro de Windows, actualiza el sistema y confirma que el servidor admite NAT-T y el tipo de perfil que estás usando. En algunas guías se propone cambiar el valor AllowL2TPWeakCrypto; no lo recomendamos como arreglo: habilita MD5 y DES, algoritmos débiles. Si una conexión solo funciona al permitirlos, busca otra configuración o un protocolo distinto.

Routers y configuración manual

En un router compatible, L2TP/IPsec puede ahorrarte instalar un cliente en cada dispositivo, pero la pantalla de configuración debe permitir IPsec, no solo L2TP. Comprueba qué método de autenticación pide, cómo gestiona las claves y si el fabricante mantiene el firmware. Una interfaz que muestra «L2TP» sin explicar la protección no basta para confirmar que el tráfico queda cifrado.

En OpenWrt existe el paquete xl2tpd para L2TP, pero eso no resuelve por sí solo la parte de IPsec. Un montaje cifrado suele requerir configurar también strongSwan y ajustar manualmente las asociaciones de seguridad. Si no tienes experiencia con redes, es fácil dejar un túnel que conecta pero no protege como esperabas. Sigue la documentación correspondiente a tu versión y valida tanto la autenticación como el cifrado negociado.

También ten en cuenta que no hay base aquí para prometer que L2TP/IPsec mantenga la sesión al cambiar de wifi a datos móviles. Si necesitas moverte entre redes sin interrupciones, considera IKEv2 o WireGuard y comprueba que el cliente y el servidor admiten esa función. La elección del protocolo tampoco determina por sí sola si funcionan el streaming o las descargas P2P: consulta esas características por separado.

Cómo elegir entre L2TP/IPsec y otras opciones

Usa L2TP/IPsec cuando una política de empresa lo exija o cuando un dispositivo heredado no ofrezca una alternativa compatible, y siempre que puedas configurar IPsec con una autenticación sólida. Si el servicio admite certificados, priorízalos. Si solo ofrece una PSK, evita las claves débiles y no aceptes cambios que activen algoritmos obsoletos para salvar una conexión problemática.

• Quédate con L2TP/IPsec si el servidor lo exige y la configuración permite certificados o una PSK robusta.
• Prueba IKEv2 si está disponible en el dispositivo y necesitas una opción integrada en los sistemas actuales.
• Valora WireGuard si tanto el cliente como el servicio lo admiten y no dependes de una instalación antigua.
• No decidas por el nombre del protocolo para streaming o P2P: revisa las funciones y condiciones del servicio.

En nuestra comparación, el filtro de esta página reúne únicamente planes que indican compatibilidad con L2TP/IPsec. Para situarlos en contexto, en la comparación completa hay 22 planes de 22 proveedores; no confundas esas cifras con el número de resultados de este filtro. La fecha de sincronización de precios de la comparación es 31 octubre 2026. Compara también los protocolos alternativos y las funciones que necesitas: que un plan incluya L2TP/IPsec sirve para comprobar compatibilidad, no para concluir que sea el adecuado para ti.