L2TP 与 PPTP 为什么连不上：809、619 与该换掉的老协议

不少公司远程和早期教程仍会让人在系统设置里加一条 VPN：类型选 PPTP，或选 L2TP/IPsec 再填预共享密钥。Windows、macOS、iPhone 都还留着这两个选项。点连接之后，常见结果是错误 619、错误 800、错误 809，或者停在验证用户名密码。国内运营商和很多公司网会拦 GRE、拦 UDP 五百和四千五百，于是系统客户端永远建不起隧道。

即便偶然连上，PPTP 也不该再被当成可用方案。它的身份校验可以离线破解，加密强度也不够。L2TP 本身只负责封装，加密靠外面的 IPsec，配置对了比 PPTP 安全，但端口特征明显，遇到地址转换和防火墙就容易停在 809。下面先对照两套协议和现代方案的差别，再按系统客户端的报错排查，最后说明该换到哪里。具体产品支不支持哪种协议，以该客户端当前设置为准。

PPTP、L2TP 和现在还在用的协议

PPTP 的问题是协议本身，不是某一次密码填错。L2TP 在公司内网、两端都按文档开了端口时还能工作，拿到公网再穿两层地址转换，失败率会明显上升。和 WireGuard、OpenVPN、IKEv2 的横向对比见后文内链，这里先把系统自带客户端为什么连不上讲完。

先换掉老入口，再按报错收尾

• 第一步：先把线路准备好。若你的目标只是打开境外网站或应用，不要再新建 PPTP 或 L2TP 连接，直接安装刺猬VPN 客户端。自定义用户名和密码即可匿名注册，不需要邮箱、也不需要手机号；免费节点永久免费、不限流量、不限速；全程 HTTPS+AES 加密传输。
• 第二步：公司若仍发放 L2TP 预共享密钥，先向对方确认端口是否仍开放，以及是不是全员共用同一条密钥。密钥长期不换、人人相同，等于没有第二道门。能改发现代客户端时，优先改。
• 第三步：必须在 Windows 里排一次旧连接时，打开设置里的网络和 Internet，进入 VPN，点添加，类型先看对方文档写的是 PPTP 还是 L2TP/IPsec。服务器地址填主机名或 IP，不要把 HTTP 代理地址填进去。
• 第四步：选 L2TP 时，预共享密钥填对方给的那一串，用户名密码是另一组，不要混用。选 PPTP 时，即使能连上也不要用它传任何登录凭证，只用来确认这条线路是否被运营商放行，然后停用。
• 第五步：连接失败先看错误码，不要先改网卡。619、628、800 多半是 GRE 或对端没响应，809、789 多半是 IPsec 协商或地址转换，691 才是用户名密码或密钥。
• 第六步：电脑在路由器后面、错误正好是 809 时，有人会改一项允许 NAT 封装的注册表。改完仍失败，说明对端或中间网络拦了 UDP，继续改注册表没有意义。公司电脑不要自己改注册表，交给对方信息技术人员。
• 第七步：同一条 L2TP 在手机系统设置里也连不上，说明不是 Windows 独有问题。iPhone 的中国大陆区 App Store 不提供 VPN 类应用，需要外区 Apple ID，在 App Store 搜索「Hedge VPN」，步骤见 iOS 安装教程。
• 第八步：连上之后打开一个只在境外的页面做验证。能握手、打不开网页，是分流或 DNS 的事，不要再把协议类型改回 PPTP。
• 第九步：确认现代客户端可用后，在系统 VPN 列表里删掉那条 PPTP 或 L2TP，避免下次开机自动重连到不安全的旧隧道。

按错误码看是端口、密钥还是协议本身

系统报错数字比状态栏的转圈有用。先对号，再决定是改密钥、改网络，还是放弃这条协议。

• 错误 619 或 628：对端没完成 PPTP 握手，或中间把 GRE 丢了。家里换路由器、公司换防火墙之后最常见。不要指望再试一次密码能好。
• 错误 800：找不到 VPN 服务器。主机名解析失败，或对端已关闭 PPTP。用对方给的 IP 试一次，仍失败就当这条服务已经下线。
• 错误 809：计算机与 VPN 服务器之间无法建立连接。L2TP 最常见的一条，UDP 五百、四千五百或 ESP 被拦，或两层地址转换把封装弄丢。先问对端是否仍开放这些口，再查家里是不是光猫加路由器各做了一次转换。
• 错误 789：L2TP 连接尝试失败，因为安全层处理了策略错误。证书过期、预共享密钥两端不一致，或系统策略禁止这套加密套件。
• 错误 691：用户名或密码不对，或账号被锁。只有这一条值得去改凭证，改完仍 691，让对方看账号状态。
• 错误 806：策略阻止了连接。公司电脑上的组策略或安全软件在拦，本机用户改类型也过不去。
• 一直停在验证用户名和密码：对端在应答，但校验失败或超时。先确认没有把预共享密钥填进密码框，再换一条网络试，排除中间设备改写了数据包。
• 手机能连、电脑不能连：电脑多了一层防火墙或旧的 WAN Miniport 设备损坏。删掉那条 VPN 重新添加，仍失败再查系统更新，不要先格式化。

老协议和现代客户端怎么分工

免费节点适合先确认目标站点能不能打开；需要长时间使用时，时长套餐期间不限流量、不限速。节点列表以客户端里实际显示为准。能打开某个网站时，实际可用性仍取决于当前网络环境。

和协议总表、IKEv2 怎么衔接

若还要在现代协议之间做选择，先看 VPN 协议怎么选，那里按速度、穿透、移动端和兼容性把 WireGuard、OpenVPN、IKEv2 放在一张表里。系统里如果出现的是 IKEv2 而不是 L2TP，不要按本文的 809 去改注册表，改去 IKEv2 协议说明：它同样走 UDP 五百和四千五百，公司网拦这两个口时，IKEv2 也会失败，但重连和移动切换比 L2TP 完整得多。

PPTP 不在那张现代对比表的推荐列里，不是漏写，是它已经不应出现在日常方案里。看到教程仍教你在 Windows 里添加 PPTP，可以直接关掉那一页。

常见报错速查表

路由器、双重转换和系统自带入口

光猫拨号、后面再接一台路由器时，出网要做两次地址转换。L2TP 的封装经过两次转换后，对端常常直接丢掉，错误就是 809。把光猫改成桥接、只留一层路由，比在电脑上改注册表更接近原因。没有公网地址、运营商做了大网地址转换时，家用 L2TP 客户端很难独立修好，应改走对方提供的现代入口。

Windows 的 WAN Miniport 设备偶尔会坏，设备管理器里能看见感叹号。这时所有 PPTP 和 L2TP 都会失败，和密钥无关。删掉那条 VPN、重启后再加，仍失败再检查系统组件，不要把它当成节点问题。macOS 和 iOS 的系统 VPN 页同样还能选 L2TP，填法与 Windows 类似，失败原因也类似，不要以为换一台苹果设备就能绕过被拦的 UDP 口。

预共享密钥写在聊天记录里、几年不换，等于把隧道口令公开。公司若坚持 L2TP，至少按人发证书，而不是全员一条密钥。客户端侧能改的只有填对字段和换网络，改不了对方的算法套件。

商业应用里如果协议下拉菜单还能看到 PPTP，把它当成兼容旧设备的遗留项，日常不要选。自动模式会按网络挑选可用协议，比手填 L2TP 省事。连上之后用系统的 VPN 图标确认走的是应用隧道，而不是后台还挂着一条旧的系统连接。两条隧道叠在一起时，网页能开、登录态却乱跳，先把系统那条断开。笔记本在公司网和家里来回切换时，把旧连接的自动连接关掉，避免下次开机又去撞已经关闭的 PPTP 口。

高频问答

• 问：809 改注册表一定能好吗？答：只对「单层地址转换、对端端口仍开放」的情况有时有效。对端或运营商拦了 UDP，改这项没有用。
• 问：PPTP 比 L2TP 简单，能不能先用着？答：不能当正式方案。它的校验方式已被证明可被离线攻击，连上也不应传密码或支付信息。
• 问：IKEv2 和 L2TP 都用 UDP 五百，是不是一回事？答：不是。封装和重连机制不同，报错和处理也不要混用。
• 问：路由器里还能勾选 PPTP 服务器吗？答：家用路由上的这项是历史功能，打开等于把弱校验暴露到公网，应保持关闭。
• 问：公司只给 L2TP，我能拒绝吗？答：先用它的文档把端口和密钥问清楚。同时准备现代客户端，两边网络策略允许时再切。
• 问：刺猬VPN 要在系统里选 L2TP 吗？答：不要。安装官方客户端连接即可，不必在 Windows 的协议列表里手工添加。

老协议连不上，就不要再补参数

L2TP 与 PPTP 连不上，先看错误码：619 和 800 多半是 PPTP 和 GRE 已经走不通，809 和 789 才是 L2TP 的端口、密钥或地址转换。排完仍失败，应停用系统里的旧连接，改用现代客户端，而不是继续加注册表和端口转发。

刺猬VPN 采用 HTTPS+AES 加密传输，支持自定义用户名和密码匿名注册，不需要邮箱和手机号；免费节点永久免费、不限流量、不限速，适合先确认目标站点；时长套餐期间不限流量、不限速，一个账号支持多设备同时在线。第三方公司若仍发放 L2TP 密钥，以对方最新说明为准。实际可用性取决于当前网络环境。