การตั้งค่า MikroTik L2TP VPN (พร้อม IPsec): คู่มือ RouterOS (2026)

ในการตั้งค่า MikroTik L2TP VPN นี้ L2TP จะจัดการทันเนล ในขณะที่ IPsec จะจัดการการเข้ารหัสและความสมบูรณ์ การจับคู่สิ่งเหล่านี้จะทำให้คุณเข้ากันได้กับไคลเอ็นต์ดั้งเดิมโดยไม่ต้องใช้ตัวแทนบุคคลที่สาม การตรวจสอบขีดจำกัดของฮาร์ดแวร์การเข้ารหัสของคุณยังคงมีความสำคัญเป็นอย่างยิ่ง

การเพิกเฉยต่อค่าใช้จ่ายในการห่อหุ้มสแต็กโปรโตคอลคู่นี้จะทำให้การใช้งานหยุดชะงักอย่างเงียบ ๆ ก่อนที่จะประมวลผลเมกะไบต์เดียว

MikroTik L2TP VPN คืออะไร?

ด้วยการออกแบบพื้นฐาน L2TP ทำหน้าที่เป็นสะพานขนส่งกลวงเพียงอย่างเดียว มันให้การเข้ารหัสโดยธรรมชาติเป็นศูนย์อย่างแน่นอนสำหรับการรับส่งข้อมูลที่เคลื่อนที่ของคุณ เครือข่ายที่ไม่เป็นมิตร.

เพื่อเพิ่มการเข้ารหัสและความสมบูรณ์ สถาปนิกเครือข่ายจะจับคู่ L2TP กับ IPsec ผลลัพธ์ที่ได้คือสแต็กโปรโตคอลคู่โดยที่ L2TP ล้อมรอบอุโมงค์ และ IPsec จะรักษาความปลอดภัยของเพย์โหลด สถาปัตยกรรมไฮบริดนี้ยังคงเป็นตัวเลือกอันดับต้นๆ สำหรับความเข้ากันได้แบบเดิมโดยไม่ต้องปรับใช้ตัวแทนบุคคลที่สามที่รุกราน

การทำความเข้าใจการพึ่งพาโปรโตคอลคู่นี้จะกำหนดวิธีการสร้างของคุณอย่างเคร่งครัด ข้อยกเว้นของไฟร์วอลล์. การตั้งค่า MikroTik VPN ของคุณจะพังทันทีหากการกำหนดเส้นทาง UDP หรือกระบวนการห่อหุ้ม IPsec พื้นฐานล้มเหลว

มันทำงานอย่างไร

การสร้างการเชื่อมต่อที่ปลอดภัยนี้จำเป็นต้องมีการจับมือเครือข่ายแบบสองขั้นตอนที่แม่นยำ IKE ระยะที่ 1 จะตัดสินการเชื่อมโยงความปลอดภัยด้านการเข้ารหัสลับก่อนโดยใช้คอมเพล็กซ์ของคุณ คีย์ที่แชร์ล่วงหน้า.

เมื่อกำแพงที่มองไม่เห็นนี้ตั้งอยู่ ระยะที่ 2 จะสร้างอุโมงค์ L2TP ภายในเพย์โหลดที่เข้ารหัสโดยตรง หากเฟสใดเฟสหนึ่งล้มเหลวเนื่องจาก PSK ไม่ตรงกัน ข้อเสนอไม่ตรงกัน UDP 500/4500 ที่ถูกบล็อก หรือปัญหาในการจัดการ NAT ทันเนลจะไม่เกิดขึ้น ในบางกรณี Windows NAT-T edge อาจจำเป็นต้องเปลี่ยนแปลงรีจิสทรีด้วย

กระบวนการห่อหุ้มสองชั้น

ข้อมูลบนเครื่องบินในการตั้งค่า MikroTik L2TP VPN ผ่านกระบวนการบรรจุภัณฑ์ที่เข้มงวด มันเข้าสู่มาตรฐาน กรอบ ปชปได้รับการห่อหุ้มด้วยโปรโตคอล L2TP และหุ้มเกราะโดย IPsec ESP

ค่าใช้จ่ายที่รวมกันนี้จะทำให้ขนาดแพ็กเก็ตขยายตัวอย่างมาก และผลักดันให้เกินเครือข่ายมาตรฐานไปมาก หน่วยส่งกำลังสูงสุด ขีดจำกัด การพองตัวอย่างกะทันหันนี้ทำให้เกิดการแตกตัวของแพ็กเก็ตที่รุนแรงในสภาพแวดล้อมที่มีความหน่วงสูงอย่างหลีกเลี่ยงไม่ได้

หากองค์กรของคุณให้ความสำคัญกับความเร็วที่แท้จริงเหนืออุโมงค์ลึก โปรดดูคำแนะนำของเราเกี่ยวกับ Shadowsocks Configuration ซึ่งให้ทางเลือกที่น่าสนใจและมีค่าใช้จ่ายต่ำ ฉันยืนยันว่าการทำอุโมงค์ขนาดใหญ่มักจะเกินความจำเป็นสำหรับแอปพลิเคชันระดับองค์กรบนเว็บแบบธรรมดา

จะตั้งค่า MikroTik L2TP VPN ได้อย่างไร?

การปรับใช้เซิร์ฟเวอร์เสริมความปลอดภัยบน RouterOS v7 ต้องใช้ความแม่นยำสูงสุด เพื่อให้การตั้งค่าสะอาดที่สุด ให้เราเตอร์มีที่อยู่ที่เข้าถึงได้แบบสาธารณะหรือชื่อ DNS ที่เสถียร แนะนำให้ใช้ IP สาธารณะแบบคงที่ แต่ไม่บังคับในทุกการใช้งาน

คุณต้องรักษาความปลอดภัยการสำรองข้อมูลการกำหนดค่าทันที เนื่องจากนโยบาย IPsec ที่เสียหายจะทำให้คุณถูกล็อค อ่านคำแนะนำของเราเกี่ยวกับมาตรฐาน การส่งต่อพอร์ต Mikrotik เอกสารประกอบก่อนที่จะจัดการเครือข่ายการรับส่งข้อมูลที่เข้ารหัส ปฏิบัติตามการตั้งค่า MikroTik L2TP VPN นี้อย่างแม่นยำ การเร่งกฎไฟร์วอลล์บนเราเตอร์ที่ใช้งานจริงถือเป็นหายนะที่รับประกันได้

ขั้นตอนที่ 1: สร้าง IP Pool และโปรไฟล์ PPP

คุณต้องกำหนดที่อยู่ IP ในเครื่อง ไคลเอนต์ที่เชื่อมต่อของคุณได้รับ IP เหล่านี้

1. เปิดเมนูไอพี คลิกตัวเลือกพูล
2. คลิกปุ่มเพิ่ม ตั้งชื่อพูล VPN-pool
3. ตั้งค่าช่วง IP เฉพาะของคุณ
4. เปิดเมนู PPP คลิกตัวเลือกโปรไฟล์
5. คลิกปุ่มเพิ่ม ตั้งชื่อโปรไฟล์ l2tp-profile
6. กำหนดที่อยู่ท้องถิ่นให้กับเกตเวย์เราเตอร์ของคุณ
7. ตั้งค่าที่อยู่ระยะไกลเป็น vpn-pool

ขั้นตอนที่ 2: เปิดใช้งาน Global Server และ IPsec

ขั้นตอนนี้จะเปิดใช้งานผู้ฟัง L2TP ทั่วโลกในการตั้งค่า MikroTik L2TP VPN ของคุณ RouterOS จะแนบการเข้ารหัส IPsec แบบไดนามิกเมื่อคุณเปิดใช้งาน

1. เปิดเมนู PPP คลิกตัวเลือกอินเทอร์เฟซ
2. คลิกปุ่มเซิร์ฟเวอร์ L2TP
3. ทำเครื่องหมายที่ช่องเปิดใช้งาน
4. เลือกโปรไฟล์ L2TP เป็นโปรไฟล์เริ่มต้น
5. เลือก Require ภายใต้ Use IPsec เว้นแต่ว่าคุณต้องการการสำรองที่ไม่ใช่ IPsec โดยเจตนาสำหรับห้องแล็บหรือกรณีการย้ายข้อมูล
6. พิมพ์สตริงที่ซับซ้อนลงในฟิลด์ IPsec Secret

ขั้นตอนที่ 3: เพิ่มผู้ใช้ PPP (ความลับ)

เซิร์ฟเวอร์ของคุณต้องมีบัญชีผู้ใช้ คุณต้องสร้างข้อมูลรับรองการตรวจสอบไคลเอนต์ระยะไกล ส่วนถัดไปของการตั้งค่า MikroTik L2TP VPN ของคุณจะย้ายไปที่โปรไฟล์ PPP

1. เปิดเมนู PPP คลิกตัวเลือกความลับ
2. คลิกปุ่มเพิ่ม
3. พิมพ์ชื่อที่ไม่ซ้ำ พิมพ์รหัสผ่านที่ปลอดภัย
4. ตั้งค่าบริการเป็น L2TP
5. ตั้งค่าโปรไฟล์เป็น l2tp-profile

ขั้นตอนที่ 4: กำหนดค่ากฎไฟร์วอลล์ (ลำดับความสำคัญ)

ไฟร์วอลล์ของคุณบล็อกการเจรจา IPsec คุณต้องวางกฎเหล่านี้ไว้ในห่วงโซ่อินพุตของคุณ

1. ยอมรับพอร์ต UDP 500 ซึ่งจัดการการเชื่อมโยงความปลอดภัยระยะที่ 1
2. ยอมรับพอร์ต UDP 4500 ซึ่งจะประมวลผล NAT Traversal
3. ยอมรับพอร์ต UDP 1701 สำหรับการสร้างลิงก์ L2TP หลังจากการตั้งค่า การรับส่งข้อมูลที่เกี่ยวข้องอาจใช้พอร์ต UDP อื่นตามที่เจรจาไว้
4. ยอมรับโปรโตคอล IPsec-ESP ซึ่งอนุญาตให้มีเพย์โหลดที่เข้ารหัส Protocol 50

หากไคลเอนต์ VPN ต้องการการเข้าถึงที่กำหนดเส้นทางไปยังเครือข่ายย่อยภายใน ให้เพิ่มกฎการจับคู่นโยบาย IPsec ในห่วงโซ่การส่งต่อและยกเว้นการรับส่งข้อมูลที่ตรงกันจาก srcnat/masquerade การเลี่ยงผ่าน FastTrack เพียงอย่างเดียวไม่เพียงพอสำหรับกรณี IPsec ที่กำหนดเส้นทางทั้งหมด

ขั้นตอนที่ 5 และ 6: ปรับนโยบายเริ่มต้นและโปรไฟล์เพียร์ให้เหมาะสม

RouterOS ใช้เทมเพลตไดนามิกเริ่มต้น คุณต้องรักษาความปลอดภัยด้วยตนเอง

1. เปิดเมนูไอพี คลิกตัวเลือก IPsec คลิกแท็บข้อเสนอ
2. ตรวจสอบพารามิเตอร์แฮช sha256 ตรวจสอบการเข้ารหัส AES-256 CBC
3. ตั้งค่ากลุ่ม PFS เป็น modp2048 เป็นอย่างน้อย หรือกลุ่มที่แข็งแกร่งกว่าหากแพลตฟอร์มไคลเอ็นต์ทั้งหมดที่อยู่ในขอบเขตรองรับ อย่าใช้ modp1024; RFC 8247 ทำเครื่องหมายว่าไม่ควร
4. คลิกแท็บโปรไฟล์ ตั้งค่าแฮชเป็น sha256 ตั้งค่าการเข้ารหัสเป็น aes-256
5. ตรวจสอบ NAT Traversal ว่าไคลเอ็นต์หรือเซิร์ฟเวอร์อาจอยู่หลัง NAT หรือไม่ ซึ่งช่วยให้ IPsec ทำงานได้อย่างถูกต้องบน UDP 4500 ในเส้นทาง NATed

ค่าข้อเสนอทั้งหมด รวมถึงกลุ่ม PFS, อัลกอริธึมแฮช และการเข้ารหัส จะต้องตรงกับแพลตฟอร์มไคลเอ็นต์ของคุณที่รองรับจริง ความไม่ตรงกันจะทำให้เฟส 2 ล้มเหลวอย่างเงียบๆ

การเพิ่มประสิทธิภาพขั้นสูง (ข้าม FastTrack)

กฎ FastTrack ของ IPv4 เริ่มต้นจะเร่งการส่งต่อแพ็กเก็ตโดยไม่ตั้งใจ สิ่งนี้จะทำลายอุโมงค์ IPsec เป็นประจำเพราะจะติดตามแพ็กเก็ตอย่างรวดเร็วก่อนที่รอบการเข้ารหัสจะเกิดขึ้น

คุณต้องข้าม FastTrack อย่างชัดเจนสำหรับการรับส่งข้อมูลที่เข้ารหัสลับทั้งหมด สร้างกฎการยอมรับโดยใช้ IPsec Policy=in,ipsec matchers ลากกฎนี้ไว้เหนือ FastTrack การกำหนดค่า MikroTik VPN ของคุณจะเสถียรเมื่อสิ่งนี้เกิดขึ้น

หากไคลเอนต์ VPN ต้องการการเข้าถึงที่กำหนดเส้นทางไปยังเครือข่ายย่อยภายใน ให้เพิ่มกฎการจับคู่นโยบาย IPsec ในห่วงโซ่การส่งต่อและยกเว้นการรับส่งข้อมูลที่ตรงกันจาก srcnat/masquerade การเลี่ยงผ่าน FastTrack เพียงอย่างเดียวไม่เพียงพอสำหรับกรณี IPsec ที่กำหนดเส้นทางทั้งหมด

คุณสมบัติหลักและคุณประโยชน์

หลายทีมยังคงเลือกการตั้งค่า MikroTik L2TP VPN บนโมเดลแบบ Zero-Trust เพื่อรักษาความเข้ากันได้ของระบบปฏิบัติการดั้งเดิมและหลีกเลี่ยงตัวแทนบุคคลที่สาม อย่างไรก็ตาม ผู้ดูแลระบบที่มีประสบการณ์ยังคงใช้ค่าใช้จ่าย IPsec จำนวนมากนี้เพื่อรักษาความสะดวกสบายในการบริหารจัดการอย่างแท้จริง การรวมระบบปฏิบัติการแบบเนทีฟช่วยกำจัดเอเจนต์ซอฟต์แวร์บุคคลที่สามที่ขัดแย้งกันออกจากอุปกรณ์ปลายทางของคุณ

ฉันมักจะทราบว่าเครื่องมือระบบปฏิบัติการดั้งเดิมมีอายุการใช้งานยาวนานกว่าตัวแทนบุคคลที่สามที่ได้รับความนิยมทุกครั้ง การข้ามการเปิดตัวไคลเอ็นต์ที่บังคับเหล่านี้จะช่วยประหยัดเวลาให้กับแผนกช่วยเหลือหลายร้อยชั่วโมงต่อปีได้อย่างง่ายดาย การสรุปการตั้งค่า MikroTik L2TP VPN จะทำให้เกิดความเป็นจริงของฮาร์ดแวร์ที่รุนแรง ซึ่งมีรายละเอียดด้านล่าง

ความปลอดภัยและความเข้ากันได้แบบเนทีฟ

ข้อได้เปรียบด้านความปลอดภัยที่กำหนดของการตั้งค่า MikroTik L2TP VPN นี้คือชุดการเข้ารหัส AES-256 คณิตศาสตร์พิสูจน์ได้มั่นคง อย่างไรก็ตาม เกตเวย์ขอบแบบเปิดยังคงทำหน้าที่เป็นเป้าหมายขนาดใหญ่สำหรับอาร์เรย์การสแกนอัตโนมัติ ล่าสุด รายงาน CISA ปี 2024 ยืนยันว่าเกตเวย์ VPN ที่ถูกเปิดเผยขับเคลื่อนประมาณ 22% ของเวกเตอร์การเข้าถึงแรนซัมแวร์เริ่มต้นทั่วโลก

การกรองรายการที่อยู่ที่เข้มงวดถือเป็นสิ่งสำคัญที่ไม่สามารถต่อรองได้ การเชื่อถือพอร์ตที่ถูกเปิดเผยโดยไม่มีการกรองที่อยู่ถือเป็นความประมาทเลินเล่อในการปฏิบัติงาน หากคุณเผชิญกับการตรวจสอบ Deep-Packet โปรดดูบทความของเราเกี่ยวกับการปรับใช้ VPN ที่สับสน เพื่อเอาชนะการเซ็นเซอร์ที่กระตือรือร้น

ข้อควรพิจารณาด้านประสิทธิภาพ (การถ่ายฮาร์ดแวร์)

หากไม่มีการเร่งด้วยฮาร์ดแวร์ CPU จะจัดการการเข้ารหัสทั้งหมดแบบอินไลน์ ซึ่งสามารถผลักดันการใช้งานแบบคอร์เดี่ยวให้ถึงขีดจำกัดและลากทรูพุตให้ต่ำกว่าความเร็วสายของคุณ ไมโครติ๊กเอง เอกสารการเร่งความเร็วด้วยฮาร์ดแวร์ IPsec ยืนยันเรื่องนี้โดยตรง

เพื่อให้อุโมงค์ IPsec ของคุณทำงานด้วยความเร็วเต็มสายโดยไม่มีปัญหาคอขวดของ CPU คุณต้องมีฮาร์ดแวร์ที่สามารถรองรับโหลดได้จริง ที่ Cloudzy ของเรา ไมโครติ๊ก VPS ให้ซีพียู Ryzen 9 ความถี่สูง, พื้นที่เก็บข้อมูล NVMe และเครือข่าย 40 Gbps; สร้างขึ้นโดยมีจุดประสงค์เพื่อปริมาณงานการเข้ารหัสประเภทนี้โดยเฉพาะ

กรณีการใช้งานทั่วไป

L2TP/IPsec ครองสถานการณ์การขนส่งแบบแยกส่วนได้อย่างปลอดภัยมากกว่าการกำหนดเส้นทางเว็บทั่วไป ก การวิเคราะห์ของการ์ตเนอร์ปี 2025 เปิดเผยว่า 41% ของเครือข่าย Edge ขององค์กรยังคงใช้โปรโตคอลแบบเนทิฟเป็นหลักเพื่อหลีกเลี่ยงการให้สิทธิ์ใช้งานจากบุคคลที่สามที่มีราคาแพง

โปรโตคอลแบบเดิมเหล่านี้ยังคงฝังลึกอยู่ในอุปกรณ์นับพันล้านเครื่องทั่วโลก การตั้งค่า MikroTik L2TP VPN นี้ยอดเยี่ยมมากเมื่อคุณบังคับใช้ขอบเขตไฟร์วอลล์ที่เข้มงวดซึ่งจำกัดการเข้าถึงเฉพาะเครือข่ายย่อยภายในบริษัท การใช้โปรโตคอลนี้สำหรับการท่องเว็บแบบเต็มช่องทางถือเป็นการจัดสรรทรัพยากรที่ไม่ถูกต้องขั้นพื้นฐาน

การเข้าถึงของผู้ปฏิบัติงานระยะไกลและข้อจำกัดระหว่างไซต์ถึงไซต์

การกำหนดค่าโปรโตคอลเฉพาะนี้ประสบความสำเร็จเมื่อเพิ่มศักยภาพให้กับพนักงานระยะไกลแต่ละคนที่โทรเข้าสู่ LAN ของสำนักงานกลาง นอกจากนี้ wrapper L2TP ยังเพิ่มเวลาแฝงที่หนักหน่วงโดยไม่จำเป็นให้กับเราเตอร์สาขาแบบคงที่

ฉันประเมินอย่างหนักแน่นว่าการเชื่อมโยงสำนักงานสองแห่งที่แตกต่างกันอย่างถาวรนั้นไม่มีประสิทธิภาพอย่างน่าสยดสยอง สำหรับการเชื่อมโยงที่ตั้งสาขาถาวรของบริษัท โปรดดูบทความต่อไปนี้ VPN ไซต์ถึงไซต์ แนะนำ.

บทสรุป

การตั้งค่า MikroTik L2TP VPN ที่ออกแบบอย่างเหมาะสมจะติดอาวุธให้พนักงานระยะไกลของคุณอย่างไม่มีที่ติด้วยการเข้าถึงแบบเนทีฟ หลีกเลี่ยงการขยายตัวของซอฟต์แวร์บุคคลที่สาม ปัจจุบันโปรโตคอลสมัยใหม่มีอิทธิพลเหนือพาดหัวข่าวเครือข่าย แต่ก็ไม่แตกหัก การเข้ารหัส AES-256 IPsec ทำให้สถาปัตยกรรมนี้เป็นองค์กรขนาดใหญ่ที่ไม่มีปัญหา

การตั้งค่า NAT-T ที่ถูกต้องช่วยหลีกเลี่ยงความล้มเหลวระยะที่ 2 ในเส้นทาง NATed แต่ PSK ที่ไม่ตรงกัน ข้อเสนอที่ไม่ตรงกัน และปัญหาไฟร์วอลล์ยังคงสามารถทำลายการเจรจาได้ โปรดจำไว้ว่า L2TP และ IPsec ร่วมกันเพิ่มค่าใช้จ่ายในการห่อหุ้มและลด MTU ที่มีประสิทธิภาพของคุณ ต้นทุนด้านประสิทธิภาพมาจากการห่อแพ็กเก็ตที่เพิ่มเข้ามา ไม่ใช่จากเลเยอร์การเข้ารหัสที่สอง

ไมโครติ๊กเอง เอกสารประกอบของ IPsec ยืนยันว่าการเร่งด้วยฮาร์ดแวร์ใช้เครื่องมือเข้ารหัสในตัวภายใน CPU เพื่อเร่งกระบวนการเข้ารหัส หากไม่มีมัน งานเข้ารหัสทั้งหมดจะตกอยู่ที่ CPU หลักและปริมาณงานจะลดลงอย่างมาก 

การปรับใช้สถาปัตยกรรมของคุณบนเราเตอร์ที่ติดตั้งตัวเร่งความเร็วการเข้ารหัสแบบดั้งเดิมจะช่วยป้องกันปัญหาคอขวดของ CPU และช่วยให้เครือข่ายของคุณทำงานด้วยความเร็วเต็มสาย

คำถามที่พบบ่อย