不少部署了双宽带的中小办公场景或者家庭用户，在搭完VPN实现远程访问内网的需求之后，经常会遇到本地局域网设备互访异常、远程VPN拨入后没法正常访问内网资源、跨宽带网段的服务调用出错等问题，很多故障根源都来自部署后没有做全流程的针对性检查，本文围绕双宽带环境VPN：局域网访问检查的全流程，从配置前提到分步校验再到误区规避给出可落地的操作步骤，不需要额外特殊工具就能完成全部排查。
运维人员正在开展双宽带环境VPN部署后的局域网访问连通性排查校验
双宽带环境VPN部署前的局域网基线配置确认
首先你得先确认双宽带的两个WAN口在主路由上已经完成端口分流或者策略路由的基线配置，还没开启VPN功能之前，两个宽带下挂载的局域网设备都能正常互访，也能正常访问各自对应的外网线路，这一步是所有后续检查的核心基础，很多用户跳过这步直接部署VPN，最后出问题根本分不清是双宽带本身的线路冲突，还是VPN配置带来的访问异常。
接下来要确认你部署VPN的设备形态，是主路由内置的VPN服务，还是单独接入局域网的旁路由设备，如果是旁路由模式，要确认它的LAN口已经接入主局域网的默认网段，没有被单独划分到隔离VLAN里，不然VPN客户端拨入之后，根本没法识别现有内网的路由规则，自然也没法正常访问局域网内的资源，云帆不少用户图省事把VPN部署在其中一个宽带下挂的二级路由里，直接就把整个局域网的访问路径切得支离破碎。
VPN拨入后的第一层局域网连通性基础检查
首先用外部的远程设备拨入VPN之后，先尝试ping局域网内的网关地址，也就是主路由的LAN口IP，如果ping不通，首先要检查VPN服务端的虚拟IP段配置，是不是和现有局域网的内网IP段冲突，比如现有内网默认网段是192.168.1.x，VPN分配的虚拟IP段也被误设成了192.168.1.x，就会出现路由优先级冲突，数据包根本没法正常转发到内网设备。
确认能正常ping通网关之后，接下来尝试访问局域网内的普通终端设备，比如内网的NAS、共享打印机、办公文件服务器这类常用设备，如果能连通网关但没法访问终端，要检查内网终端本身的本地防火墙设置，很多Windows或者Linux设备默认开启的公用网络防火墙，会拦截陌生网段的入站请求，VPN分配的虚拟IP段不在本地防火墙的白名单里，访问请求就会被直接丢弃。
这一步还要顺便验证双宽带的原有分流规则有没有被VPN的默认配置改写，你可以在拨入VPN之后分别尝试访问两个宽带下绑定的独立外网资源，确认原本指定走对应宽带的内网服务，没有因为VPN的全局路由规则被错误切换到另一条线路上，避免后续出现部分内网服务访问卡顿甚至完全失效的问题。
跨宽带网段的局域网互访专项检查
双宽带环境下很多用户会把不同用途的设备划分到对应宽带的子网段里，比如监控设备全部走宽带A的线路，办公终端全部走宽带B的线路，VPN部署之后要专门测试不同子网段之间的设备能不能通过VPN正常互访，比如接在宽带A下的监控摄像头网段，能不能被拨入VPN的远程设备正常调取画面，接在宽带B下的办公文件服务器，能不能被远程设备正常完成读写操作。
这里最常见的误区是很多用户误开了VPN的全隧道模式，把所有远程访问的流量都导去了其中一条宽带的外网出口，不仅拖慢了跨网段的访问效率，还会让原本走另一条宽带的内网设备的访问权限直接失效，这时候要调整VPN的分流规则，把所有内网网段的访问流量都设置成走本地局域网转发，VPN下载不要走WAN口的外网通道。
长期运行的稳定性校验与常见误区规避
做完基础连通性检查之后，不要立刻把VPN投入正式使用，要保持VPN连接状态持续访问几个核心内网服务，云帆观察有没有间歇性断连的情况，双宽带环境下两个WAN口的NAT会话表如果没有做对应同步，很容易出现VPN的转发会话被随机切换到另一个WAN口，导致连接被意外重置。
很多用户会为了提升访问安全性，在VPN服务端额外开启自定义虚拟防火墙，直接拦截了所有非VPN网段的内网访问请求，这就会导致原本局域网内部的本地设备互访也受到不必要的影响，完全没必要额外叠加多余的访问规则，只需要给VPN拨入的客户端设置必要的最小访问权限就足够。
最后还要确认你没有把VPN的服务端口和双宽带下的内网管理端口设置成重复，不然不仅远程VPN拨入会出现随机失败的问题，云帆本地局域网的设备也会因为端口冲突，没法正常访问对应的内网服务，整个检查流程走完之后，双宽带环境下的VPN局域网访问就可以保持稳定运行。
