爱快 L2TP 分流教程：让指定电脑使用指定出口

开始前：确认拿到的是 L2TP 线路

SOCKS5的“地址、端口、账号、密码”不能直接当作L2TP拨号资料。先向线路提供方核对协议、服务器、账号、端口及是否要求IPsec预共享密钥。L2TP本身是隧道，不应仅凭连接成功就认定通信已经加密。

本文按爱快官方L2TP与端口分流功能说明整理。不同版本、免费版和企业版的菜单及字段可能不同；遇到字段不一致，先对照当前版本帮助，不要套用别人定制固件的截图。

• 通过有线连接本地管理界面，导出当前配置并保存到自己的电脑。
• 记下原WAN、LAN网段、DHCP范围和现有分流规则，保留一台不参加测试的管理电脑。
• 示例测试地址为192.168.50.10，实际使用时替换为自己的LAN地址，不能与网关或其他设备冲突。

第一步：固定测试电脑的内网地址

按源IP分流识别的是终端网络流量，而不是浏览器账号。同一电脑的多个窗口通常仍共享同一内网地址；需要窗口级代理时，应在支持该功能的应用内分别配置，不能靠这条源地址策略实现。

1. 在DHCP静态绑定中，把测试电脑的MAC绑定到选定的内网IPv4地址；若使用手动地址，同时填写正确的掩码、网关与DNS。
2. 让测试电脑重新获取地址，确认当前网关确实是这台爱快，而不是另一台上级路由或旁路由。
3. 先关闭电脑中原有的代理、VPN或浏览器独立代理，记录未分流时的出口IP，作为对照。

第二步：创建一条 L2TP 客户端

MTU/MRU先沿用当前版本默认值或服务方明确值。只有出现部分网站卡住、大包异常等现象，才结合链路测试调整；不要把一个固定数值当作所有网络的最优设置。

1. 进入本机VPN客户端的L2TP页面，新增线路，名称使用L2TP开头，例如L2TP-test。
2. 在本地后台填入服务方给出的服务器、账号、密码和端口；端口必须与服务端一致，不擅自把其他代理端口改填成1701。
3. 拨号出线选择能正常到达服务器的原WAN。仅在服务方明确要求IPsec时填写相应密钥与标识；未知配置先确认，不随意猜测。
4. 连接后查看状态与分配地址。尚未获得隧道地址时，先处理拨号问题，不继续叠加分流规则。

第三步：只给测试源地址添加分流

不要把测试规则套到管理电脑、全网DNS或路由器自身流量。修改分流后重新建立测试连接；已存在的连接可能仍沿用此前会话路径。

1. 在“端口分流”等支持源地址与出口选择的页面新建规则，源地址只填测试电脑192.168.50.10，不填整个办公网段。
2. 出口选择刚建好的L2TP-test。若目标是该终端全部相应协议流量，按当前界面选择所需协议范围与不限制的端口条件；不要只填80/443却误认为其他应用也已覆盖。
3. 核对现有静态路由、域名分流和其他重叠规则。爱快官方说明端口分流存在优先级与冲突关系，不能假设新规则必定覆盖所有规则。
4. 先决定掉线策略：允许恢复原WAN，还是断开后停止该终端外网访问。若使用线路绑定，仍须实际断线验证，不能只看勾选状态。

第四步：用“命中记录 + 实际访问”验收

• 在爱快终端监控的连接详情里查看测试终端实际使用的出线，再从该电脑打开IP检测中心核对出口；路由器自己发起的测试不等于终端已分流。
• 检查DNS解析是否正常。终端访问路由器DNS时，请求可能由路由器重新发出，未必按原终端源地址选路；需要与服务方及本机DNS配置一起核对。
• IPv4分流不自动包含IPv6。分别检查两种地址族；没有配套IPv6策略时，不要宣称全流量都进入了同一出口。
• 在允许中断的测试时段断开L2TP，核对实际行为是否符合预定的回退或阻断方案，然后恢复并再次检查。

常见故障与回到原网络

拨号失败先核对协议、凭据、服务端状态及出线可达性；拨号成功却不能访问，再检查分流命中、DNS、NAT和回程，而不是反复重启全部设备。部分应用正常、部分异常时，重点看协议范围、IPv6和MTU。

回退时先禁用本次测试分流规则，确认测试终端回到原WAN；再停用本次L2TP线路。不要删除原WAN、批量清空防火墙或导入来源不明的一键脚本。需要协助时，只提供脱敏状态和版本；不要在聊天、截图或公网检测表单里提交线路密码。