Layer 2 Tunneling Protocol
プロセスが完了すれば、エンドポイント間のL2TPパケットはIPsecによってカプセル化される。L2TPパケット自体はIPsecパケットの内側に包まれ隠されているので、内側のプライベートネットワークについての情報は暗号化されたパケットから得る事は不可能である。 さらに、両方のエンドポイント間にあるファイアウォールのUDPの1701番ポートを開ける必要はない。なぜなら、トンネル内部のパケットはIPsecデータが復号されトンネルから取り出されるまで処理されず、エンドポイントでのみ処理されるからである。
L2TP/IPsecにおける混同の可能性がある点は「トンネル」と「セキュアトンネル」という用語である。トンネルは一方のネットワークの手付かずのパケットを他方のネットワークに運ぶことを可能にするチャネルのことを言う。L2TP/IPsecの場合は、L2TP/PPPパケットがIP上で転送されることを可能とする。セキュアトンネルとは全てのデータの機密性が保証された接続のことを指す。L2TP/IPsecにおいては、最初にIPsecがセキュアトンネルを提供し、次にL2TPがトンネルを提供する。
L2TPの元々の機密性の欠如から、しばしばIPsecと一緒に実装される。これはL2TP/IPsecと呼ばれ、RFC 3193 によって標準化されている。L2TP/IPsec VPNを構築するための手順は以下の通りである。
一般的に、IKE (Internet Key Exchange)を通してIPsecのSA (Security Association)を折衝する。これはUDPの500番ポートで行われ、通常、共有のパスワード(事前共有鍵、PSK)や公開鍵、X.509証明書を両端で用いる。しかし他の鍵方式も存在する。 トランスポートモードのESP (Encapsulation Security Payload)通信の確立。ESPのIPプロトコル番号は50である。この時点で、安全なチャネルは確立できたがトンネリングは行われてはいない。 SAのエンドポイント間のL2TPトンネルのネゴシエーションと確立。パラメータの実際のネゴシエーションは上記のSAの安全なチャネルの上で、IPsec暗号化の下に行われる。L2TPはUDPの1701番ポートを利用する。
L2TP自体は暗号化や秘匿性は提供しないため、IPsecと併用されることが多い。プライバシー提供に関しては、L2TPはそのトンネル内部を通過する暗号化プロトコルに委ねる。
L2TPはOSI参照モデルの第2層データリンク層のプロトコルである。 UDPの1701番ポートを用いる。
ペイロードとL2TPヘッダを含めたL2TPパケット全体は、UDPデータグラムとして送られる。L2TPトンネル内にはPPPセッションを伝送することが一般的である。L2TPは秘密性や強力な認証をそれ自身では提供しない。IPsecが秘密性や認証、整合性を提供することによって、L2TPパケットを守るためによく用いられる。これら2つのプロトコルの組み合わせは、一般にL2TP/IPsec(後述)として知られている。
L2TPトンネルの両端はLAC (L2TP Access Concentrator)とLNS (L2TP Network Server)と呼ばれている。LACはLNSとの間のトンネルのイニシエーターであり、LNSは新しいトンネルの開始を待つサーバである。