很多部署了旁路网关VPN的用户，经常遇到外网接入VPN后没法正常访问内网局域网资源的问题，多数普通用户甚至初级运维人员都不知道从哪下手排查，这篇实操指南就从实际运维的排查路径出发，一步步拆解旁路网关VPN局域网访问连通性检查的全流程，帮你定位大部分常见连通性故障。
运维人员通过设备连线与诊断工具，逐步排查旁路网关VPN的局域网连通性故障
先确认旁路网关VPN的基础配置前提
首先要先明确你当前的网络拓扑逻辑，旁路网关的核心部署要求是不能和主路由的IP网段产生冲突，很多人部署的时候直接把旁路网关的LAN口接在了主路由的LAN口下，却忘了把旁路网关自身的DHCP服务关闭，这时候内网网段出现两套地址分配规则，VPN接入的设备拿到错误的网关地址，小牛自然没法访问局域网资源。
这一步的检查不需要做复杂测试，直接登录旁路网关的管理后台，查看它的对应网口获取的IP地址，确认该地址和主路由下的其他内网设备处于同一网段，同时旁路网关自身的内网静态路由配置里，已经把整个内网网段的下一跳指向了主路由的管理地址，没有配置错误的黑洞路由。
第一级连通性：VPN客户端到旁路网关的链路校验
很多人排查问题上来就测内网共享文件夹，其实第一步要先确认VPN客户端和旁路网关VPN服务本身的连通性是正常的，你可以在已经连接上VPN的客户端设备上，ping旁路网关自身的内网管理IP地址。
这个测试的预期结果是能正常收到回包，没有明显的丢包，如果这一步就不通，说明VPN隧道本身的转发规则存在问题，大概率是VPN服务端的配置里，没有允许虚拟网卡网段和旁路网关自身内网网段的互访权限，需要去调整VPN服务的防火墙放行规则，而不是去排查后面的局域网设备。
这里要注意一个常见误区，不要用VPN客户端获取的虚拟网段IP去ping公网地址测试连通性，很多旁路网关VPN默认就不允许VPN客户端走隧道访问公网，这种配置本身是为了隔离外网流量，避免不必要的隐私泄露，不能把这种符合安全规范的配置当成故障。
第二级连通性：VPN客户端到内网普通设备的跨段校验
完成上一步测试之后，接下来就可以开始正式做旁路网关VPN：局域网访问检查的核心环节，找一台和旁路网关同网段的普通内网设备，比如你平时用的内网台式机、网络存储服务器，把它的系统防火墙临时关闭之后，用已经接入VPN的客户端去ping这台设备的内网IP。
如果这一步能正常通，说明旁路网关的路由转发规则已经生效，VPN客户端的流量可以正常抵达内网普通节点，你接下来只需要检查对应服务的端口放行规则就行，比如共享文件夹的SMB端口、远程桌面的RDP端口有没有对VPN虚拟网段开放。
如果这一步ping不通，你就需要登录旁路网关的后台查看实时流量统计，看VPN客户端发往该内网IP的数据包有没有被网关正常转发出去，如果数据包被网关的防火墙拦截，就需要在网关的自定义规则里，添加允许VPN虚拟网段访问整个内网网段的放行策略。
第三级连通性：特殊内网资源的定向访问校验
完成普通设备的连通性测试之后，还要针对你实际要用的特殊内网资源做定向校验，比如内网的监控摄像头平台、部署在VLAN里的办公服务器，这类资源很多不在旁路网关所在的主内网段，之前配置的时候很容易漏掉对应的静态路由条目。
这一步的测试要结合内网的VLAN划分规则，小牛VPN客户端迁移指南逐一给VPN客户端添加对应VLAN网段的路由指向，确认每一段需要访问的内网地址都能被旁路网关正确转发，不要图省事直接开全网段放行，避免不必要的内网安全风险。
最后还要提醒一个常见的故障点，部分内网设备本身开启了AP隔离或者客户端接入限制，就算是同网段的陌生设备发起的访问请求也会被直接拦截，小牛VPN客户端迁移指南这种情况不属于旁路网关VPN的配置故障，只需要把VPN的虚拟网段加到对应设备的信任访问列表里就能解决。
