如何突破移动宽带对于 PPTP 类协议封锁？

[winterx]

去年底，因家人使用移动手机，移动赠送了一条宽带，干脆退了电信使用移动

使用下来，发现我这边移动夜晚并不稳定，偶有波动，间歇性 DNS 抽风无法解析（强制移动 DNS ）
微博、斗鱼等偶尔页面空白需钛合金 F5 ，并且偶尔有需要连接到我司内网

遂使用一阿里云当跳板机，方便访问国内网站
但使用下来发现移动对于 TCP 封锁比较疯狂， PPTP 、 L2TP 、 IKEV2 、 Anyconnect 等均无法连接
唯独 SS 幸存，但 SS 对于全局并不太友好（客户端为 SSR ），感觉还不如移动直连质量
请问是否有更好的全局解决办法解决？谢谢各位！

[zhjits]

ShadowVPN

[just1]

会不会是搭建失败了。

[tobyxdd]

移动封 PPTP 和 L2TP 基本没什么办法 但 IKEv2 应该是没问题的啊

[DesignerSkyline]

再加一个 SSTP 无法连接

[965380535]

当然是换宽带啦！

[halczy]

其实移动没有封, 只是他们穿透没有做好...导致不是 stateless 的 VPN 容易断(源 IP 跳动)或者根本连不上.

[commoccoom]

我就是用的移动宽带 PPTP 正常使用啊 移动，电信都能 就是联通 3G 连不上

[winterx]

@just1 并不会，在我司电脑是完全没问题的
@halczy 回答精辟！连上也会收到干扰那种，等于没连
@commoccoom 可能地区不一样 T.T

[fangpeishi]

北京移动这边我打客服，告诉我开通 PPTP VPN 之类的协议是要收费的。。默认不支持。。瞬间就想投诉

[v1024]

对我朝的网络环境有了新的认识…

[laiyingdong]

Anyconnect 也不行？什么端口？ 要么你就多折腾 openvpn 来

[cabbage]

6 楼说的没错，其实没封，是 NAT 穿透的问题，而 L2TP/IPSec 是可以开启 NAT 穿透的。贴一段 die.net 关于 IPSec.conf 配置文件的 man page

force_keepalive
whether to force sending NAT-T keep-alives to support NAT which are send to prevent the NAT router from closing its port when there is not enough traffic on the IPsec connection. Acceptable values are: yes and no (the default). This parameter may eventually become per-connection.

keep_alive
The delay (in seconds) for NAT-T keep-alive packets, if these are enabled using force_keepalive This parameter may eventually become per-connection.

来自 http://linux.die.net/man/5/ipsec.conf

force_keepalive 和 keep_alive 这两个参数是默认不开启的， ipsec.conf 配置文件中没写入，要手动填入到 config setup 下。 keep_alive=yes ，而 keep_alive 并不是越小越好，估计在 5 到 10 秒之间，具体需要你自己试验。时间太长，连接会超时被关闭，太短会占用带宽影响正常通信。

当初读了好久的文档，才终于解决了这个问题，要是有用的话，求楼主给铜币啊😂

[Andy1999]

因为你出口 IP 一直在变动所以导致的……

[cabbage]

更正， force_keepalive=yes

另外，这个原理其实就是不断定时发送特定封包保持连接，防止 NAT 路由关闭端口，如文档中所述

[lzokks04]

上年移动送了一年 4m 的用，虽然国际出口很爽但发现无论怎么折腾还是用 pptp 相对稳定（偶尔也会全丢包），电信联通都能用的 openvpn 换成移动全丢包（ static 方式）， l2tp10 分钟内掉线， ikev2 能用不过 20-40 分钟掉线后一段时间 809 （ pppoe 重拨可破），为了稳定还是放弃移动改成电信了。

[ChangeTheWorld]

L2TP 加密可行的，容易断是因为被 NAT 了

[qq651438555]

弄个自由门出国吧，比较好用。

[br00k]

在路由上部署 ss ，走全局的。

[pheyer]

可以配合 Proxifier 使用

[webdev]

杭州移动表示 any connect 没问题啊