Layer 2 Tunneling Protocol
L2TPトンネルは、PPPセッション全体にわたったり、2セグメントセッションの片方のセグメントのみにわたって張ることが出来る。 これは4つの異なるトンネリングモードによって表すことが出来る。つまり、
任意トンネル
必須トンネル - 着信呼
必須トンネル - 発信呼
L2TPマルチホップコネクション
任意トンネルモードでは、トンネルはユーザによってつくられ、一般的なL2TPの使用はLACクライアントと呼ばれるクライントを有効にする。ユーザはL2TPパケットを、LNSへ転送するインターネットサービスプロバイダ (ISP)に送る。ISPはL2TPをサポートしている必要は無く、ただL2TPパケットをLACとLNSの間で転送できれば良い。LACクライアントは、事実上リモートクライアントと同様に同じシステム上に存在するL2TPトンネルのイニシエーターの働きをする。L2TPトンネルは、L2TPクライアントからLNSまでのPPPセッション全体に及ぶ。
必須トンネルモデルの着信呼では、トンネルはISPのLACとLNSホームゲートウェイの間で作られる。企業はVPNを用いるリモートユーザに、会社のサーバにアクセスできるアカウントにログイン出来るようにする事ができる。結果的に、ユーザはPPPパケットを、ISP (LAC)でL2TPにカプセル化をしてトンネルでLNSに送る。必須トンネリングの場合、ISPはL2TPを受容できなければならない。
L2TPは、しばしばADSL終端接続性を転売するためのトンネリング手法として用いられる。L2TPトンネルはユーザと回線を提供されたISPの間に存在する。そのため、回線を提供している側のISPが伝送しているようには見えない。
Windows Firewall with Advanced Security (WFwAS)と呼ばれるMMCスナップインで、コントロールパネル>管理ツールの中にある。
netsh advfirewall コマンドラインツール
これらの設定ユーティリティには問題がない訳ではなく、また不運にも、netsh advfirewallについてもWFwASのIPsecクライアントについても資料はほとんどない。上記の問題のひとつにNATに対応しない点がある。もう一つの問題は、新しいVistaの設定ユーティリティにおいて、サーバがIPアドレスによって一意に明確でなければならない。サーバのホスト名は使われていては困り、そのため、もしIPsecサーバのIPアドレスが変わるなら、すべてのクライアントはこの新しいIPアドレスを知らされなければならない。(en:DynDNSの様なユーティリティによるアドレスもまた、サーバを除外する)