[win10]L2TP win10 設定

 https://support.microsoft.com/zh-tw/kb/926179

regedit

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent

1. 在 [ 編輯 ] 功能表上，指向 [ 新增]，然後按一下 [ DWORD (32-位) 數值。

2. 輸入 AssumeUDPEncapsulationCoNtextOnSendRule，然後按 enter。

3. 以滑鼠右鍵按一下 [ AssumeUDPEncapsulationCoNtextOnSendRule]，然後按一下 [ 修改]。

4. 在 [ 數值資料 ] 方塊中，輸入下列其中一個值：

   • 0

     值 0 (零) 會設定 Windows，使其無法與位於 NAT 裝置背後的伺服器建立安全性關聯。 這是預設值。

   • 1

     值為1時，會設定 Windows，使其能夠與位於 NAT 裝置背後的伺服器建立安全性關聯。

   • 2

     值2會設定 Windows，這樣當伺服器與 Windows Vista 或 Windows Server 2008 型 VPN 用戶端電腦都位於 NAT 裝置之後，就可以建立安全性關聯。

5. 將值修改為2

6. 根據你的環境修改數值資料：

• 2：這是最常用的設定，代表「用戶端與伺服器端都在 NAT 後方」。
• 1：代表只有伺服器端在 NAT 後方。
• 0：預設值（不允許連線）。

若兩台機器（VPN 用戶端與伺服器端）都擁有 實體公網 IP（Public IP） 且直接連線，將該機碼設為 2 通常不會產生負面影響，但也並非必要。

以下是針對這種情況的詳細解析：

1. 系統的判斷邏輯

AssumeUDPEncapsulationContextOnSendRule 的作用是告訴 Windows：「即使偵測到 NAT 環境，也請強制執行 UDP 封裝（UDP Encapsulation）。」

• 如果沒有 NAT： 當 Windows 發起連線時，IPsec 會進行「NAT 偵測（NAT-T）」。如果雙方都在公網上，系統偵測不到 NAT 設備，它會傾向於直接使用標準的 IPsec 協定（ESP，協定號碼 50），而不會強制把封包塞進 UDP 4500 埠。

• 機碼設為 2 的行為： 這個設定主要是「放寬限制」。即便你設定了 2，如果路徑上真的沒有 NAT，Windows 依然可以正常建立連線。它像是一個「允許通行證」，而不是一個「強制改變封包結構」的指令。

---

2. 可能的潛在影響（極少數情況）

雖然理論上沒影響，但在極少數的網路環境下，可能會遇到以下狀況：

• MTU（最大傳輸單元）問題： UDP 封裝會增加額外的標頭（Header）空間。如果機碼強制觸發了某些封裝行為，會導致有效的載荷空間（Payload）變小。若網路路徑上的 MTU 設定非常緊繃，可能會導致大封包被丟棄，造成連線不穩或速度變慢。

• 安全性原則一致性： 在企業級的高強度資安環境中，有些網管會嚴格要求「非 NAT 不得使用 UDP 4500」。但對於一般的遠端桌面、檔案同步或日常使用，這幾乎不會造成問題。

---

3. 建議做法

為了確保連線的相容性與簡便性，多數 IT 技術人員的建議如下：

你的環境	建議設定值	原因
兩端皆為公網 IP	可不設（預設 0）	系統會自動處理最有效率的連線方式。
不確定環境（例如筆電常換地點）	設定為 2	這樣無論你是在咖啡廳（有 NAT）還是公司（公網），都能保證連線成功。
已設為 2 且連線正常	維持現狀	不需要特地改回來，因為它不會損壞系統或導致斷線。

總結

設為 2 基本上是「向下相容」的做法。 即使你的機器目前都在公網，保留這個設定也不會導致無法連線。如果你是為了方便日後環境變動（例如改用家用路由器後連線），留著這個機碼反而更省事。

溫馨提醒： 修改機碼後若想測試有無差異，記得每次修改都要 重新啟動 Windows 才能確保設定完全生效。