PPTP 为何已是过时的 VPN 协议

在网络技术里，很少有哪项技术像 PPTP 这样老得如此狼狈。九十年代末，搭建 VPN 是件麻烦事，而 PPTP 让一切变得简单：Windows 不用额外软件就能连上 PPTP 服务器，许多路由器和服务器也能充当服务端。这份便利让它成了数百万人接触到的第一个 VPN 协议。可如今，当年那个“捷径”选项，却成了安全指南建议避开的东西。

本文用通俗的语言说明：为什么 PPTP VPN 被认为不安全、它的弱点到底在哪里、现在还可能在哪里遇到它，以及应该迁移到什么。内容只围绕 PPTP。如果你想先了解“协议”这个概念，可以看VPN 协议是什么。

PPTP 是什么，为什么当年传得那么快

PPTP 全称 Point-to-Point Tunneling Protocol，即点对点隧道协议。它在九十年代中期由以微软为首的一批厂商开发，当时企业希望员工通过普通互联网接入办公网络，而不是花钱租专线或购置拨号设备。

它流行的原因有几点：

• **系统内置。**主流桌面操作系统自带客户端，无需另外安装。
• **运行成本低。**处理负担小，这对早期服务器和家用路由器很重要。
• **配置简单。**填上服务器地址、用户名和密码就行。
• **资料很多。**面向家庭办公用户的教程遍地都是。

它的设计带着那个时代的烙印：加密被当作一条主要用于运输流量的隧道的附加功能，当时的标准也假设攻击者的计算能力远不及今天。这个假设后来被证明站不住脚。

PPTP 的工作方式，简单来说

一次 PPTP 连接由两个相互独立的部分组成。

1. 控制连接：使用 TCP 1723 端口，客户端和服务器在这里协商并维持会话。
2. 数据隧道：使用另一种名为 GRE（通用路由封装，IP 协议号 47）的协议。你的流量先被装进 PPP 帧，再放进 GRE 数据包里。

登录这一步由 PPP 认证完成，最常见的是微软的 MS-CHAPv2。可选的加密则由 MPPE 提供，它使用 RC4 流密码，密钥由你的密码派生而来。

注意这和现代设计的区别：加密密钥不是通过全新的、相互独立的密钥交换产生的，而是来自同一个登录密码。整条隧道的强度，就系在一次登录交换的强度上。

弱点逐条拆解

1. MS-CHAPv2 可以被化简成一个难题

2012 年，研究人员证明 PPTP 使用的 MS-CHAPv2 握手可以被归约为“寻找一把 56 位 DES 密钥”的问题。以今天的标准看，56 位的密钥非常小，专用硬件和在线服务能在一天甚至更短的时间内把它找出来。密钥一旦到手，背后的密码哈希就暴露了，MPPE 的会话密钥也随之暴露。实际意义是：只要有人记录下 PPTP 的登录过程，之后就能恢复出解密整个会话所需的东西。

2. MPPE 里的 RC4 有已知问题

RC4 密码存在统计偏差的历史，已经被现代网页安全淘汰。MPPE 还有另一个问题：它没有强的完整性保护。研究者演示过，能主动干预链路的攻击者可以翻转加密数据中的比特，而接收方毫无察觉，这使得即便内容被加密，也有被篡改的风险。

3. 没有独立而强健的密钥交换

由于会话密钥来自密码，就没有现代协议所具备的前向保密。如果之后密码或其哈希被恢复，以前录下的会话都能被解开。现代设计则通过生成临时密钥并在会话结束后丢弃来避免这种情况。

4. 加密可选，默认值偏弱

PPTP 可以完全不启用 MPPE，也可以使用更弱的 40 位模式。早年的建议有时说 128 位选项“很强”，但它并不能修补底层认证机制的缺陷。

5. 对服务器身份的保护很弱

PPTP 没有健全的基于证书的方式让设备验证服务器，这就给冒牌网关留下了空间，而恰当的服务器验证正是为了防止这类问题。

这五点合起来很简单：即使把 PPTP 能用的设置都调到最强，它也无法提供人们对 VPN 所期望的保密性和完整性。

攻击者实际上能做什么

把技术要点翻译成日常场景会更直观。

**咖啡馆里的旁观者。**同一个公共网络里有人记录了 PPTP 用户的流量。他们不需要实时破解任何东西，只要把握手过程和加密数据流存下来，之后慢慢处理。

**被破解的密码。**如果用户密码很短或被重复使用，所需的工作量会进一步下降。长而随机的密码会让离线猜测更难，但由于问题被归约为单个 DES 密钥，它并不能消除设计本身的弱点。

**老旧的网络设备。**某家小公司在一台十年前的路由器上跑 PPTP 服务，让员工在家访问共享盘。一切都能用，多年没人动过设置，路由器固件也没有任何安全更新。这个 VPN 给人安全感，实际提供的保护却很有限，而暴露在互联网上的路由器本身也成了攻击目标。

**悄悄篡改的人。**能介入链路的主动攻击者，可以用 PPTP 层察觉不到的方式修改加密流量。即使读不到内容，也可能干扰它。

这一切不需要电影里那种天才。攻击手法有公开记录，工具现成，安全团队和审计人员几乎在每次检查中都会把 PPTP 列为问题项。

与其他协议对比

下表是一般性的比较，描述的是协议本身，并不表示任何具体服务提供了什么。

协议	诞生年代	当前状况	主要顾虑
PPTP	1990 年代	已过时，应避免	认证可被破解，加密偏弱
L2TP/IPsec	2000 年代初	属于旧技术，设置得当仍可用	双重封装、较老的算法选择、端口固定
SSTP	2000 年代	小众，以 Windows 为中心	受单一厂商生态限制，TCP 套 TCP 会变慢
IKEv2/IPsec	2000 年代	当前主流，口碑良好	自行配置时较复杂
OpenVPN	2001	当前主流，经过广泛审计	比新设计更重
WireGuard	2010 年代后期	当前主流，体量小	简单的密钥模型需要谨慎管理

想看两种最常见的现代方案有何不同，可以读WireGuard 与 OpenVPN。在标准方面，NIST 的 IPsec VPN 指南和 IKEv2 规范展示了现代协议如何协商和更新密钥，如果你需要向上司或审计人员说明决定的理由，它们是很好的参考。

现在还可能在哪里遇到 PPTP

如今几乎没人会主动选 PPTP，但你可能在不经意间碰到它。

• **路由器菜单。**一些家用和小办公室路由器依旧把 PPTP 服务端或客户端选项和新协议并列。
• **老旧的 NAS 与服务器设备。**十年前的网络存储盒可能开着 PPTP 服务。
• **企业遗留系统。**某个没人愿意动的老远程访问系统，理由是“还能用”。
• **旧教程和论坛帖子。**多年前的搜索结果仍然推荐 PPTP，因为它配置快。
• **操作系统的列表。**有些系统为兼容起见在 VPN 类型下拉列表里保留 PPTP，即使厂商已在新版本中移除或默认禁用。

列表里出现 PPTP 并不是推荐。请从设备提供的、符合当前做法的选项里选择，或者使用你已决定信任的服务所提供的应用。

替换 PPTP 的实用步骤

如果你在自己的环境里发现了 PPTP，可按下面的清单逐步处理。

1. **盘点。**记下所有启用了 PPTP 的地方：路由器、服务器、NAS、笔记本、手机。
2. **找出负责人。**弄清每一项被谁依赖。两个人共用的共享盘，比工资系统简单得多。
3. **确认替代方案。**查看路由器或服务器固件是否支持 WireGuard、OpenVPN 或 IKEv2/IPsec。如果升级固件就能获得，先备份再升级。
4. **规划切换。**并行搭好新 VPN，先让一个用户测试，再迁移其余用户。
5. **更换凭据。**假设曾通过 PPTP 使用过的密码都可能已被记录。设置新的、不重复的密码，并在系统支持时启用双重验证。
6. **关闭 PPTP。**停用服务端，关闭 TCP 1723，并删除转发 GRE 流量的规则。
7. **重新测试。**确认没有东西依赖旧隧道，例如定时备份任务或打印机。
8. **更换无法更新的硬件。**如果设备跑不了受支持的协议，也没有安全更新，正确答案是换新，而不是再想一个变通办法。

如果你的 VPN 运行在路由器上，文章路由器 VPN 与 VPN 应用的比较分析了两种方式的利弊，帮助中心的在路由器上设置 VPN则讲解实际操作。

常见误区

**“它很快，所以没问题。”**速度曾是卖点，因为加密轻。新协议同样很快，却没有这些弱点，所以速度不再是辩护理由。

**“我的密码很长。”**长密码有助于防猜测，但已知攻击把握手归约为固定规模的问题，长度修补不了设计缺陷。

**“我只在家里用。”**家里使用同样会让流量经过你未必完全掌控的网络，而且维护不善的路由器本身也暴露在互联网上。

**“反正有 HTTPS。”**HTTPS 保护网页内容，却不会把弱的 VPN 变强，PPTP 本该隐藏的元数据也依然暴露。想理解 VPN 加密这一层，可以读VPN 加密是什么。

**“有些网络会拦它，说明它很坚固。”**某些网络会拦截 GRE 数据包或 1723 端口，所以 PPTP 常常连不上。那是兼容性问题，不是安全特性。

**“没人会花心思攻击我。”**很多攻击是自动化、见机行事的。收集并破解握手包并不需要有人在意受害者是谁。

暂时无法替换时怎么办

有时更换需要几周。在此期间，请尽量降低损失。

• 决定通过它传什么时，把 PPTP 链路当作普通的未加密连接看待。
• 绝不要把 PPTP 账号的密码用在别处。
• 把账号权限限制在它唯一需要的那个资源上。
• 避免在公共 Wi-Fi 上使用，那是最容易被录下流量的场合。
• 定下明确的停用日期，并写下来。

这些步骤只是控制损失，并不是修复，只能为你换来时间，直到可以迁移到当前协议为止。

总结

PPTP 诞生于另一个时代，如今已被视为过时。它的认证方式可以被化简为一个规模很小的破解问题，加密依赖有完整性缺陷的老算法，密钥来自登录密码而非全新的交换。你仍可能在旧路由器、存储设备和旧教程里见到它，但菜单里有它并不等于背书。如果你还在依赖它，请盘点它的使用位置，迁移到 WireGuard、OpenVPN 或 IKEv2/IPsec，更换密码，然后关掉 PPTP。

如果你不想自己在协议之间做选择，想直接使用现成的应用，可以到价格页面了解选项。