不少企业和小型办公场景为了保障网络冗余，都会部署两条不同运营商的宽带线路，但是这类双宽带环境下接入VPN远程访问内部局域网时，很容易出现单宽带场景下不会遇到的连通异常，很多运维人员沿用传统的排查思路很难定位根因，本文梳理了标准化的双宽带环境VPN局域网访问检查流程，结合高频故障场景给出实用排查技巧，帮使用者快速理清链路问题。
双宽带环境VPN局域网访问的前置配置校验
首先要确认VPN服务端的多WAN口选路基础配置，这是很多人最容易忽略的前提项，双宽带场景下如果没有给VPN接入流量配置定向的回包路由，系统默认路由很可能把VPN拨号请求的回包，从和接入请求不同的另一条宽带接口发出去，直接导致VPN握手过程就出现丢包，就算拨号成功也完全无法连通内网。
运维人员正在双宽带环境中排查VPN局域网访问连通故障
接下来要核对双宽带下的端口映射规则，很多管理员初期配置时只把VPN服务的对应端口映射到主宽带的公网IP上，当主宽带出现故障自动切换到备用宽带线路时，外部用户使用备用宽带的公网IP发起VPN拨号，根本无法触发正确的端口转发，自然也没有权限访问后端的局域网资源。
还要提前确认VPN虚拟地址池的绑定规则，双宽带场景下不少运维会给两条WAN口分别配置独立的虚拟地址池，分别对应不同的接入权限，如果地址池和内网局域网的VLAN准入规则错配，就算VPN拨号成功，用户也会被划分到没有内网访问权限的隔离区域。
分层递进的标准化连通性检查步骤
第一步先做VPN拨号后的基础链路校验，不要上来就直接尝试访问局域网共享文件夹或者业务系统，先查看VPN客户端获取到的虚拟网卡IP，确认这个IP属于服务端已经配置好的、允许访问局域网资源的地址段，排除地址池分配错误的基础问题。
第二步做跨WAN口的对照测试，分别使用两条宽带对应的公网IP发起VPN拨号，先尝试ping通VPN网关的内网侧接口地址，如果其中一条宽带拨入后完全无法ping通网关内网地址，大概率是对应WAN口的防火墙放通规则不全，没有给VPN虚拟网段开放访问局域网区域的权限。
第三步做局域网资源的逐跳连通测试，快狗加速器确认能ping通VPN内网网关之后，再依次测试访问内网的业务服务器、共享存储、打印设备等目标资源的固定IP，如果部分设备能正常访问、部分完全无法连通，就要检查双宽带网关内有没有多余的策略路由，把部分内网资源的回包错误引导到公网出口，没有走局域网内部转发链路。
高频故障场景的实用排查技巧
最常见的故障现象是VPN拨号成功后只能访问公网资源，完全无法触达局域网，这个时候优先检查双宽带网关的负载均衡规则，确认VPN虚拟网段已经被排除在全局负载均衡策略之外，很多设备的默认负载均衡规则会把所有非本地直连网段的流量都往公网出口转发，直接把内网访问的流量错误扔到公网链路里。
第二个高频故障是访问局域网资源时断时续，传输内网文件时频繁出现连接中断，这个时候要检查双宽带网关的会话保持配置，部分入门级多WAN路由器的会话绑定规则不完善，会把同一个VPN连接的双向流量分到两条不同的宽带线路上，导致局域网设备识别到异常的源IP之后直接丢弃数据包。
如果出现能ping通局域网设备IP、但无法打开共享文件夹或者业务系统页面的情况，就要检查内网侧的安全准入规则，很多企业内网的AC控制器或者防火墙配置了异常源IP拦截策略，快狗双宽带场景下VPN接入的虚拟网段如果没有加入内网信任白名单，就算流量能抵达局域网侧，也会被安全设备直接拦截。
常见配置误区规避
很多运维为了调试方便，会在双宽带VPN网关里开启全网段无限制转发，没有做访问控制隔离，不仅容易出现局域网访问异常，还会把内网的敏感资源暴露在不必要的公网风险中，建议给VPN虚拟网段配置最小必要权限，只开放用户实际需要访问的局域网资源地址段。
不要把VPN的虚拟地址池设置成和任意一条宽带的内网网关网段重叠，双宽带场景下多WAN设备的路由表本身条目更复杂，网段重叠会直接导致路由选路混乱，就算偶尔能成功访问局域网，也会出现大量没有规律的随机连通故障，很难复现和定位根因。
