VPN L2TP/IPsec : compatibilité et sécurité

L2TP crée le tunnel, IPsec protège les données

L2TP, normalisé dans la RFC 2661 en 1999, sert à établir un tunnel entre votre appareil et le serveur VPN. Mais il ne chiffre pas à lui seul le contenu de vos échanges et n’assure pas une authentification forte. C’est IPsec, généralement avec ESP, qui apporte la protection des données et l’authentification de la connexion.

En pratique, l’expression « VPN L2TP » désigne presque toujours L2TP associé à IPsec. Ne confondez pas les deux : si un écran de configuration mentionne L2TP sans IPsec, ce n’est pas le même niveau de protection. Pour une connexion à distance, vérifiez que votre profil utilise bien la variante proposée par le serveur et que la partie IPsec est activée.

Notre filtre rassemble les offres compatibles avec L2TP/IPsec, mais ce critère ne dit pas tout sur le service. Dans l’ensemble de notre comparatif VPN, les prix vont de 0,74 € à 4,48 € par mois, avec une moyenne de 2,62 € sur les 22 offres examinées ; ils ont été synchronisés le 31 octobre 2026. Ces chiffres concernent l’ensemble de la comparaison, pas uniquement les offres affichées ici. Pour le streaming ou le partage de fichiers, regardez aussi les indications propres à chaque offre : le protocole seul ne garantit ni l’accès à un catalogue vidéo ni l’autorisation du P2P.

Pourquoi L2TP/IPsec reste proposé

Son intérêt principal est la compatibilité. Windows intègre un client L2TP/IPsec depuis Windows 2000, et macOS depuis la version 10.3. On le rencontre aussi dans des interfaces de routeur et sur des appareils anciens qui ne proposent pas forcément WireGuard. Si vous devez connecter un équipement déjà en service ou rejoindre un réseau d’entreprise qui exige ce protocole, le client intégré évite parfois d’installer un logiciel supplémentaire.

La présence d’un profil dans Windows ou macOS ne signifie toutefois pas que tous les serveurs utilisent les mêmes réglages. Sous Windows 11, par exemple, le profil doit correspondre à la méthode d’authentification du serveur : clé prépartagée ou certificat. Un mauvais choix peut provoquer un échec de connexion même si le nom d’utilisateur et le mot de passe sont corrects. Reprenez les paramètres exacts fournis par l’administrateur ou le service VPN plutôt que de tester des variantes au hasard.

Pour une installation neuve où vous choisissez librement, L2TP/IPsec est rarement le premier protocole à retenir. IKEv2 est intégré à de nombreux systèmes actuels ; WireGuard constitue une autre option lorsque le fournisseur et votre appareil le prennent en charge. L2TP/IPsec n’est pas déclaré inutilisable pour autant : il répond simplement mieux à une contrainte de compatibilité qu’à un besoin de mobilité ou à un nouveau déploiement.

Clé prépartagée ou certificat : faites le bon choix

Beaucoup de configurations L2TP/IPsec utilisent une clé prépartagée, aussi appelée PSK. Il s’agit d’un secret partagé entre les deux extrémités pour établir la connexion IPsec. Ce n’est pas nécessairement le mot de passe de votre compte VPN : les deux informations peuvent avoir des rôles différents. Si l’interface demande une PSK, récupérez-la auprès du fournisseur ou de l’administrateur et ne la remplacez pas par un mot de passe court ou facile à deviner.

La RFC 3193, consacrée à la sécurisation de L2TP avec IPsec, préfère les certificats lorsque cela est possible et met en garde contre les clés prépartagées dans certains scénarios d’accès à distance. Les risques ne se résument pas à une formule abstraite : IKEv1, souvent utilisé avec L2TP/IPsec, peut permettre des attaques hors ligne contre une PSK de faible entropie. En mode agressif, des informations d’identité et une empreinte de la clé sont également exposées. Une clé longue, aléatoire et réservée à cet usage réduit le risque, sans rendre une PSK aussi souhaitable qu’une authentification par certificat bien configurée.

Si le serveur accepte les certificats, demandez à l’administrateur comment installer et renouveler le certificat, et vérifiez que le profil valide bien l’identité du serveur attendu. Pour un service VPN grand public, vous n’aurez pas toujours le choix de la méthode : utilisez alors uniquement les paramètres fournis, protégez la PSK et évitez de la réutiliser sur d’autres services.

Les réglages Windows qui peuvent affaiblir la protection

Une connexion qui échoue derrière un routeur peut pousser à chercher un réglage de registre présenté comme une solution rapide. Prudence. La valeur Windows AllowL2TPWeakCrypto, lorsqu’elle est définie à 1, autorise MD5 et DES pour des tunnels L2TP/IPsec. Ce sont des algorithmes faibles ; activer cette option revient donc à diminuer la protection, pas à corriger proprement une configuration moderne. Ne l’ajoutez pas simplement parce qu’un guide ancien le recommande.

Commencez plutôt par contrôler la méthode d’authentification, la PSK ou le certificat, le nom du serveur et la compatibilité du routeur avec IPsec/NAT-T. Vérifiez aussi que le logiciel de l’appareil est à jour et que les règles du pare-feu correspondent au profil réellement utilisé. Les anciens conseils Windows concernant certains équipements derrière NAT peuvent dépendre de versions et de scénarios précis ; ne les appliquez pas sans confirmation pour votre système actuel.

Une connexion qui exige d’abaisser les algorithmes pour fonctionner est un signal utile : demandez une configuration corrigée, essayez IKEv2 ou choisissez un appareil plus récent plutôt que de conserver un réglage affaibli. La compatibilité a une valeur, mais elle ne justifie pas de rendre volontairement le chiffrement moins robuste.

Ports, NAT et pare-feu : diagnostiquer sans tout ouvrir

Le chemin réseau habituel utilise UDP 500 et UDP 4500 pour IKE et le passage à travers NAT, ainsi qu’ESP (protocole IP 50) pour les données IPsec. UDP 1701 est le port de L2TP, mais son traitement dépend de l’architecture : certaines configurations ne l’acceptent que lorsqu’il est déjà protégé par IPsec. Il ne faut donc pas conclure qu’il doit toujours être ouvert à tout trafic entrant.

Si vous gérez le pare-feu, suivez d’abord les exigences actuelles du serveur ou du fournisseur et limitez les règles aux flux nécessaires. Les consignes anciennes destinées à un serveur RRAS directement exposé à Internet ne s’appliquent pas automatiquement à un client VPN derrière une box. Ouvrir largement UDP 1701 peut masquer un problème de configuration sans apporter une solution sûre. Pour un pare-feu matériel, vérifiez aussi la prise en charge d’IPsec et de NAT-T.

Plusieurs clients L2TP derrière un même routeur peuvent compliquer le passage du trafic IPsec. Si la connexion ne fonctionne qu’après des changements risqués sur Windows ou une ouverture générale des ports, évitez d’empiler les exceptions. Un autre protocole pris en charge par le routeur et le serveur sera souvent plus simple à maintenir.

Quand garder L2TP/IPsec, et quand passer à autre chose

Gardez-le si un équipement ancien ne propose rien d’autre ou si votre école, votre entreprise ou votre fournisseur l’impose. Dans ce cas, utilisez un certificat quand l’administrateur le permet ; sinon, exigez une PSK longue et aléatoire, gardez vos appareils à jour et ne baissez pas les algorithmes de sécurité pour faire fonctionner un vieux profil. Sur un routeur OpenWrt, xl2tpd peut fournir la partie L2TP, mais le montage d’un L2TP chiffré par IPsec peut demander une configuration manuelle de strongSwan.

Préférez IKEv2 ou WireGuard si vous configurez un nouvel accès et que les deux extrémités les acceptent. Ne comptez pas sur L2TP/IPsec pour maintenir sans interruption une session quand vous passez du Wi-Fi au réseau mobile : cette continuité n’est pas un atout établi du protocole. Pour comparer les offres visibles dans le tableau, vérifiez d’abord la présence effective de L2TP/IPsec, puis les autres fonctions dont vous avez besoin. Notre offre la mieux notée dans la comparaison complète est Ivacy VPN, avec un score de 7,6 sur 10 ; ce classement global ne remplace pas la vérification des options de chaque formule.