现在很多中小工作室、线下门店为了避免单条宽带断网导致业务中断，都会部署双宽带冗余链路，不少用户还会在网关上搭建VPN服务，方便外出的员工远程访问局域网内的共享文件、业务系统。但双链路环境下的VPN访问故障往往和普通单宽带场景完全不同，很多时候VPN服务本身配置没有错误，火种却会出现连通性不稳定、部分内网资源无法访问的问题，这份实用指南就围绕双宽带环境VPN：局域网访问检查的全流程展开，帮你快速定位绝大多数常见故障。
双宽带环境下VPN局域网访问的配置前提校验
首先要确认双宽带的出口策略不存在默认路由冲突，很多用户为了实现带宽叠加，把两条宽带都设置成了优先级相同的主默认路由，VPN客户端拨入之后，内网设备的返回包会随机选择任意一条宽带出口发送，数据包的源IP和VPN客户端发起连接时的目标IP不匹配，直接会被网关防火墙拦截。
接下来要确认VPN服务绑定的是固定的物理WAN口，不要让VPN服务随机监听两条宽带对应的公网IP，不少用户开启双宽带的多WAN口监听之后，火种加速器远程客户端拨入的连接走第一条宽带，内网回包却走第二条宽带，直接导致VPN隧道握手失败，根本无法完成拨号。
还要提前关闭双宽带负载均衡模块里的默认VPN流量分流规则，很多网关的默认负载均衡策略会把VPN加密数据包拆分到两条链路上传输，导致内网侧的VPN解密模块识别不出完整的握手报文，直接强制断开已经建立的VPN连接。
技术人员正在检查双宽带网关的链路配置，排查VPN局域网访问故障
分层级的局域网连通性基础检查步骤
第一步先在VPN客户端拨入之后，尝试访问VPN服务器本身的内网网卡IP，看能否正常连通，这个步骤如果测试失败，说明VPN服务的内网网卡没有配置对应的放行规则，故障根源和双宽带的链路策略完全无关，不需要调整WAN口相关配置。
第二步再尝试访问和VPN服务器同网段下的其他局域网终端，比如内网的NAS存储、办公电脑的共享文件夹，如果同网段设备访问正常，但跨VLAN的业务服务器无法访问，就要去检查内网三层交换机的回包路由配置，确认内网跨网段的返回数据，都指向VPN服务器的内网网卡地址。
第三步临时断开其中一条非VPN绑定的宽带，只保留VPN服务对应的WAN口在线，再次测试远程VPN访问所有局域网资源，如果此时所有访问都恢复正常，就可以确定故障根源出在双宽带的路由回流配置环节，不需要排查内网其他设备的设置。
典型故障场景的快速定位方法
最常见的故障场景是VPN拨入之后只能访问部分局域网资源，比如能正常打开内网的网页管理后台，却无法加载文件共享的目录，这种情况大概率是双宽带的NAT回流规则配置不全，部分内网服务的回包被路由到了第二条宽带的出口，导致远程VPN客户端收不到完整的响应数据。
还有一类高频故障是VPN连接每隔一段时间就自动断开，排查的时候可以登录双宽带网关的后台查看会话列表，确认VPN隧道的对应会话是不是被负载均衡策略强制切换到了另一条链路上，导致原有VPN隧道的校验信息失效，连接被主动重置。
这里要注意不要随意修改VPN的加密参数尝试解决连通性问题，不少用户遇到访问异常就直接调低加密等级，反而会降低内网传输的安全防护水平，正确的做法是把VPN相关的所有端口和协议都加入双宽带路由器的静态路由白名单，强制所有VPN相关的流量都走同一个WAN口传输。
验证检查结果的标准操作
所有配置调整完成之后，要分别在不同的外网接入环境下做测试，比如用手机移动流量、其他运营商的家庭宽带分别拨入VPN，逐一测试所有需要远程访问的局域网资源，确认访问流程没有卡顿或者丢包的情况。
还要持续观察双宽带网关的流量统计界面，确认所有VPN隧道的上下行流量都没有被分流到第二条非指定的宽带链路上，避免后续负载均衡策略自动调整的时候，火种加速器再次出现间歇性的局域网访问故障。
日常运维过程中不要随意调整双宽带的负载均衡权重，每次修改WAN口的出口优先级、分流规则之后，都要重新做一遍双宽带环境VPN：局域网访问检查，避免外出办公的用户突然无法正常访问内网业务资源，影响正常的工作流程。
