先分清：L2TP 拨号和软件里的代理不是一回事
很多人第一次听到「L2TP 代理」，脑子里浮现的是浏览器里填个 IP 和端口那种方式。其实两者差别挺大：L2TP 是一种隧道协议，拨号成功后你的整台电脑都会被这条通道接管，所有软件出网都走它；而平时说的 HTTP/SOCKS5 代理，是在单个软件里填地址，谁配置谁走代理，其他软件不受影响。
所以做 L2TP 拨号之前，你得先确认服务端已经给你开好了账号，因为这条路不是随便点两下就能连上的，需要服务器地址、账号密码、预共享密钥三样东西齐全。
天启HTTP 提供的是国内 HTTP/HTTPS/SOCKS5 代理IP，走的是按软件配置的路子，不涉及 L2TP 隧道。如果你只是想让浏览器或采集程序换个出口 IP，用代理会比拨号省事很多；如果确实需要整机隧道，那就按下面的步骤老老实实把拨号建起来。
拨号前要准备的四样东西
少一样都连不上，建议先跟服务端确认清楚再动手：
- 服务器地址：一般是一个 IP 或者一个域名，注意别把端口号一起粘进去。
- 账号和密码：拨号时填的那一组，不是电脑登录密码。
- 预共享密钥（PSK）：一长串字符，区分大小写，多一个空格都会报错。
- 网络放行：L2TP 走的是 UDP 1701，配合 IPsec 还要用到 UDP 500 和 4500。如果公司网络或路由器把 UDP 全关了，拨号会一直停在「正在连接」。
Windows 上一步一步建立 L2TP 拨号连接
以 Windows 10 / 11 为例，操作路径基本一致，跟着点就行。
第一步：打开新建连接入口。右键任务栏右下角的网络图标，选择「网络和 Internet 设置」，点进「拨号」，再点「设置新连接」。
第二步：选择连接类型。在弹窗里选「连接到工作区」，下一步选「使用我的 Internet 连接」，如果之前建过别的连接，会多出一个「否，创建新连接」的选项，选它。
第三步：填服务器信息。「Internet 地址」填服务端给你的 IP 或域名；「目标名称」随便起个好记的，比如 L2TP-工作，它会成为任务栏里显示的名字。下面的账号密码可以先跳过，建好之后再填也可以。
第四步：改安全属性。这是最容易出错的地方。建好连接后，进入「网络和共享中心」→「更改适配器设置」，右键刚建好的连接 →「属性」→ 切到「安全」选项卡：
- 「类型」选择使用 IPsec 的第 2 层隧道协议 (L2TP/IPsec)；
- 「数据加密」一般选「需要加密」；
- 勾选「允许使用这些协议」，下面填上预共享密钥；
- 如果服务器不支持 MS-CHAP v2 之外的认证方式，把「质询握手身份验证协议」之外的选项按服务端要求勾掉。
切到「网络」选项卡，把「Internet 协议版本 6 (TCP/IPv6)」的勾去掉，对部分老服务端更稳一些。
第五步：拨号。回到「拨号」页面点刚建好的连接，填账号密码，点「连接」。第一次连接建议勾上「为下面用户保存用户名和密码」，省得每次重输。
如果你习惯命令行，也可以用系统自带的拨号命令，一条就搞定：
rasdial "L2TP-工作" 你的账号 你的密码
rasdial "L2TP-工作" /disconnect第二条是断开用的。脚本里跑批量拨号时，先断开再重拨，能避免出现「连接已被占用」的提示。
拨号成功后怎么确认真的连上了
别急着关窗口，先做三件事验证：
1. 看状态。任务栏网络图标会变成有线连接的样式，点开能看到「L2TP-工作 已连接」。
2. 看网卡。命令行里敲一句，能看到一个带「WAN Miniport (L2TP)」或者隧道字样的适配器，就说明通道起来了：
ipconfig /all3. 测连通和出口 IP。先用 ping 看通不通，再打开浏览器访问任意 IP 查询页，或调用服务商提供的 IP 查询接口，看看显示的地址是不是服务端那边的地址：
ping www.baidu.com -n 4
tracert www.baidu.com如果 ping 不通、但网页能打开，通常是服务端限制了 ICMP，不影响使用。
拨号报错了？按错误码对症下药
L2TP 拨号的报错就那么几种，认准错误码比自己瞎折腾快得多：
| 错误码 | 含义 | 常见原因与处理 |
|---|---|---|
| 789 | IPsec 协商失败 | 预共享密钥填错或大小写不符；电脑在 NAT 后面时，需要在注册表里放开 IPsec 的 UDP 封装限制 |
| 809 | 服务器无响应 | UDP 1701/500/4500 被防火墙或路由拦了；服务端地址填错 |
| 691 | 身份验证失败 | 账号密码错、账号过期、或者被绑定了别的终端 |
| 651 / 720 | 网卡异常 | WAN Miniport 驱动坏了，到设备管理器里卸载后重新扫描硬件即可 |
| 一直「正在验证用户名」 | 认证协议不匹配 | 把「安全」选项卡里除 MS-CHAP v2 之外的协议逐个关掉再试 |
顺带提醒一句：789 那个注册表改动，动手之前一定先导出备份，改完重启电脑才生效，别改完就急着点连接。
整机隧道和代理IP，到底该选哪个
L2TP 拨号能解决「整机换出口」的问题，但它也有自己的短板：一个账号同一时间基本只能用一条线，切换 IP 全靠断开重拨，等个十几秒是常事；多开程序时也做不到每个进程走不同出口。如果你的活是数据采集、比价、多账号后台管理这类需要大量不同 IP 并发的场景，那 L2TP 就不是最优解。
| 对比维度 | L2TP 拨号 | HTTP 代理 | SOCKS5 代理 |
|---|---|---|---|
| 生效范围 | 整台电脑 | 单个软件/浏览器 | 单个软件（支持非 HTTP 协议） |
| 配置方式 | 系统拨号面板 | 填 IP + 端口 | 填 IP + 端口 + 账号密码 |
| 切换出口 IP | 断开重拨 | 换一条 IP 即可 | 换一条 IP 即可 |
| 并发能力 | 较弱 | 多线程并发 | 多线程并发 |
| 适合场景 | 全流量隧道、临时演示 | 网页采集、后台管理、比价 | 多开客户端、非网页程序 |
这也是为什么做业务的人更愿意用代理IP：不用来回拨号，程序里换个 IP 就能继续跑。天启HTTP 作为国内代理IP服务商，提供 HTTP/HTTPS/SOCKS5 三种协议的国内代理IP，支持 API 提取、账密认证和终端 IP 授权几种接入方式，短效和长效的 IP 都能选，多城市节点可以按需要挑地区。放到 Windows 上特别简单：软件里填上 IP 和端口，或者用账密认证的格式，跑起来就能用，不用碰系统拨号面板，更不用记什么预共享密钥。
常见问题
Q：Windows 自带功能就能建 L2TP 拨号，为什么还要谈代理IP？
两者解决的不是同一个问题。拨号是把整台电脑的出网通道换掉，适合全流量场景；代理IP是让指定的软件单独走某条线路，切换快、并发高，适合采集、多账号管理这类要频繁换 IP 的活。看你实际需求选就行。
Q：拨号提示 789，密钥我确认没输错，怎么办？
先检查电脑是不是在路由器或公司网关后面。在 NAT 环境下，需要在注册表里给 IPsec 的 UDP 封装放开限制，改完重启再拨。另外确认一下密钥里有没有全角字符或者多余空格，这类问题最常见。
Q：连上之后网页打不开，但 ping 得通，是什么原因？
多半是 DNS 没跟着通道走。到连接属性的「网络」选项卡里，手动指定服务端提供的 DNS 地址，或者直接把 IPv6 勾掉再重拨一次。
Q：代理IP在 Windows 上怎么配置？需要装软件吗？
不需要。浏览器可以在系统代理设置里填地址和端口；采集脚本、多开工具一般在软件自己的代理设置里填，格式是 IP:端口 或者 账号:密码@IP:端口，按服务商给的接入方式填即可。天启HTTP 的接入参数在后台可以直接复制，省得手输出错。
Q：天启HTTP 能做整机隧道吗？
天启HTTP 提供的是国内 HTTP/HTTPS/SOCKS5 代理IP，适用的是按软件配置代理这条路线，不提供 L2TP 这种整机隧道拨号。如果你需要整机隧道，得用系统拨号的方式；如果只是想让程序换个国内出口 IP，代理IP更省心。另外它面向的是国内网络环境，需要海外 IP 的场景用不上。
