在云服务器上把 L2TP 跑起来，教程很多，照着做却常常卡在某一环。原因多数是跳过了某个前置条件，步骤本身没错。把整件事拆成五个环节之后，每个环节都能单独验证，卡在哪里一目了然。这套流程也适用于换 IP代理服务商之后的重配。
五个环节，每个环节验一次，别一口气做完再查。
服务起来了但连不上，先看哪一环
先看安全组和防火墙，UDP 的端口有没有放行。再看预共享密钥和账号是否一致。两处都对还连不上，才去看网卡转发。
- 环节一
- 确认系统的网络转发已开启，这一项默认是关的。
- 环节二
- 放行协议需要的端口，UDP 容易被漏掉。
- 环节三
- 设置认证方式，预共享密钥和账号密码要对齐。
- 环节四
- 配置地址分配范围，避开已有地址段。
- 环节五
- 从客户端连一次，验地址和延迟。
最常卡住的三个地方
第一是转发没开。系统层面的转发默认关闭，配置写得再对，包也过不去。第二是 UDP 端口没放行，安全组只放行了 TCP 的 80 和 443，L2TP 用的是 UDP，被挡在外面。第三是地址段冲突，分配的地址段和机器本身的网段重叠，连上之后路由混乱。
三处里前两处最常见，第三处最难查。
转发、UDP 端口、地址段，三处先过一遍再动别的。
代理IP配置完成之后，从客户端连一次，看拿到的地址是不是分配段里的。拿到地址但很快断开，多数是认证或者密钥的问题，回头对一遍环节三，别急着改网络配置。
上线之后怎么维护
代理IP线路跑起来之后要盯的是连接数。L2TP 的连接数上去之后，转发性能会下降，表现为延迟忽高忽低。这一层不是配置问题，是机器规格不够，加配置或者加机器。另外要定期看日志，认证失败集中的时段，通常是有人在试密码，这时候要换一次密钥。
日志比监控面板更早发现问题，认证失败和断线原因都写在里面，翻一遍能看出是外部试探还是配置漂移。
五个环节都验过，这套部署就是可重复的。
五个环节跑一遍，通常一个小时之内能完成，第二遍重配只要二十分钟。卡住的时候按环节往下查，比对着教程从头看一遍快得多，也不会把已经对的部分改坏。