基于TLS的VPN也就是常说的SSL VPN这类通过TLS加密隧道实现远程接入的方案，它的稳定运行首先依赖两端网络路径上的各类节点不阻断相关流量，提前梳理对应的网络环境要求可以避免部署后出现连接失败、频繁断连的问题。
提前核查全链路网络节点的流量放行规则，可避免TLS类VPN部署后出现连接异常
公网侧连通性基础检查
首先要确认VPN服务端部署的节点拥有可被客户端正常访问的公网IP，或者对应的域名解析结果指向的地址没有被本地网络运营商拦截。你可以在客户端侧用普通网页浏览器直接访问VPN服务的对外入口地址，确认没有出现连接重置、超时的报错，仅提示证书风险属于正常现象。
如果你的网络环境里部署了出口防火墙、流量清洗类设备，需要提前确认这类设备没有针对TLS协议的非常规拦截规则，也没有对单条TLS连接设置过短的超时切断阈值，这类规则很容易打断VPN隧道的长连接状态。
中间路径的流量放行要求
从客户端到服务端的全链路网络节点，都不能对TLS隧道的封装流量做深度内容检测后的篡改或者阻断。部分运营商的透明代理、企业内网的上网行为管理设备，会误识别TLS VPN的封装流量为异常代理流量，水母直接丢包导致隧道无法建立。
你可以先在两端分别测试普通HTTPS网页的访问稳定性，确认普通网页浏览没有频繁卡顿、断流的情况，再尝试发起VPN连接。如果普通HTTPS访问正常但VPN隧道无法建立，就需要逐段排查中间节点的流量管控规则。
两端本地网络的适配条件
VPN服务端所在的本地局域网，需要允许服务进程对外发起和接收对应TLS隧道的双向流量，同时不能把VPN隧道的回包路由到其他出口网关，避免出现来回路径不一致导致的连接丢包问题。你可以查阅对应VPN服务软件的官方配置说明，确认需要放行的流量特征，再调整本地防火墙规则。
客户端侧的本地系统自带防火墙、第三方安全软件，也不能拦截VPN客户端进程的对外联网权限。不需要随意关闭本地防护，只需要在安全软件的联网管控列表里，水母确认VPN客户端的联网权限处于正常放行状态即可。
带宽与延迟的适配要求
TLS VPN的隧道本身会额外增加少量封装开销，你需要保证两端之间的公网剩余可用带宽，高于VPN隧道内预期要传输的业务总带宽，水母加速器避免出现隧道内业务卡顿、丢包率过高的问题。
如果两端网络的跨运营商延迟过高，水母或者丢包率长期超过合理范围，也会导致TLS握手过程失败，或者已经建立的隧道频繁自动重连。你可以用常规的网络连通性检测工具，先确认两端的基础网络质量符合日常业务传输的要求，再正式部署VPN服务。
