不少有多条对外业务需求的小微企业、线下门店都会部署双宽带环境分担上网压力，同时架设远程访问VPN方便外勤人员调取局域网内的监控、业务服务器数据，这类场景下的VPN局域网访问经常出现部分网段连通、部分设备完全无法访问的异常，很多运维人员排查时很容易混淆双宽带策略路由和VPN配置的问题，这篇实操指南就围绕双宽带环境VPN：局域网访问检查的全流程给出可落地的操作方法，帮使用者逐层定位连通性故障。
配置前的基础环境校验前提
正式启动双宽带环境VPN局域网访问检查之前，首先要梳理清楚当前的网络拓扑，快云APP确认双宽带是通过双WAN口路由器整合接入，还是两台独立的单WAN路由器分别接入不同的内网分区，很多人跳过这一步直接测试VPN连通性，最后排查半天才发现是内网本身跨网关的互访规则就没配置，和VPN服务没有任何关系。
接下来要明确VPN服务的部署位置，确认VPN服务器是挂在其中某一条宽带的内网侧，还是部署在双WAN路由器后方的核心内网交换区，快云VPN不同的部署位置对应的端口映射、转发规则配置逻辑完全不同，提前标记清楚就能避免后续检查时走弯路。
还要提前整理好双宽带下所有内网VLAN的网段地址、VPN服务分配的虚拟地址池网段，确认几个网段之间没有出现地址段重叠的问题，网段冲突是双宽带环境下非常容易被忽略的前置问题，会直接导致后续所有连通性测试结果都不具备参考价值。
运维人员梳理双宽带网络拓扑，开展VPN连通性检查前的基础环境校验
分层连通性逐段检查实操步骤
第一步先做VPN隧道本身的基础连通校验，远程设备拨号接入VPN之后，先尝试ping VPN服务器的内网虚拟网卡地址，如果这一步就无法连通，优先排查双WAN路由器对应WAN口的VPN协议放行规则、端口映射配置，不少双宽带路由器默认会对非主用WAN口转发的VPN隧道流量做拦截，导致隧道本身就无法正常建立。
第二步做跨宽带网关的局域网网段遍历测试，通过VPN接入的设备，分别ping两个不同宽带网关下的内网设备IP，这一步重点校验双WAN路由器的策略路由规则，有没有放通VPN虚拟网段到所有内网业务网段的转发权限，很多默认配置只会把VPN虚拟网段指向主用宽带对应的内网分区，自然就无法访问另一条宽带下的局域网设备。
第三步做业务层面的实际访问验证，不要只停留在ping命令的连通结果，要尝试访问局域网内的共享文件夹、内网业务系统、网络摄像头的管理页面，很多时候ICMP协议的通行是正常的，但双宽带环境下的NAT规则会拦截业务服务对应的端口流量，就会出现ping得通但实际服务完全打不开的异常。
预期正常结果与常见误区排查
符合连通要求的正常状态是，VPN接入之后可以正常访问所有授权范围内的局域网设备，访问不同宽带下的内网资源时不会出现频繁断连、部分资源加载失败的情况，也不会出现访问内网资源时流量绕出公网再折返的异常路径。
很多运维人员排查故障时的常见误区，是直接关闭双宽带的负载均衡、策略路由功能来测试，这种操作直接改变了原本的网络拓扑，测出来的结果完全不具备参考性，正确的做法是先不接入VPN，直接在内网本地测试跨两个宽带网关的设备能不能正常互访，先排除内网本身的路由故障，再去调整VPN相关配置。
还有一类隐蔽故障是双宽带的其中一条宽带，运营商分配的内网私网段和VPN虚拟地址池的网段重合，VPN接入之后访问对应网段的局域网设备时，流量会直接走本地的公网出口转发，根本没有进入企业内网，这种情况只需要调整VPN地址池的网段，和双宽带下所有内网网段做区分就能解决。
最终校验的补充注意事项
做双宽带环境VPN局域网访问检查的全程，不要在测试设备上同时开启其他代理工具、其他VPN客户端，这类工具会随意修改本地系统的路由表，导致测试结果出现偏差，无法判断异常到底来自双宽带的网络配置，还是测试设备本身的路由冲突。
每次调整完双WAN路由器的VPN相关转发规则之后，快云APP要断开VPN客户端重新拨号接入，再做全量的局域网访问校验，旧的VPN会话缓存会保留之前的错误转发路径，导致调整配置之后的测试结果不符合预期。
