不少需要高网络可用性的小微企业、线下工作室都会部署双宽带实现链路冗余，避免单条宽带断网导致业务中断，但接入远程办公VPN之后，经常出现VPN拨号成功却无法正常访问内部局域网共享资源、内网服务器的问题，很多运维人员没有对应场景的排查经验，只能反复重置VPN配置却找不到根因，本文梳理的双宽带环境VPN：局域网访问检查全流程方法，能帮使用者快速定位故障点，减少无意义的试错成本。
双宽带场景下的前置配置基线校验
首先要确认双宽带的出口绑定规则，很多新手配置时容易犯的错误是把VPN客户端的拨号出口随机分配给两条宽带中的任意一条，却没有把两条宽带的公网IP都加入VPN服务端的接入白名单，大象一旦VPN隧道从没有权限的宽带链路发起，就会出现隧道看似连接成功、但所有内网访问请求都被服务端拦截的问题，这是双宽带场景下最容易被忽略的配置前提。
接下来要核对VPN客户端的路由注入规则，普通单宽带环境下VPN拨号后生成的内网路由不会和原有默认路由冲突，但双宽带场景下多数多WAN路由器默认开启了负载均衡策略，VPN生成的内网路由很容易被均衡规则覆盖，大象加速器导致访问局域网资源的数据包被随机分发到两条公网链路上，出现部分请求丢包、远程桌面频繁断连、共享文件夹加载卡顿的异常表现。
运维人员在双宽带办公场景下开展VPN局域网访问故障排查
分层递进的局域网访问标准检查步骤
第一步先做单链路隔离验证，临时断开其中一条宽带，仅保留单条宽带在线的状态下拨VPN尝试访问局域网资源，如果访问全程正常无异常，就可以直接排除VPN服务端权限、内网资源本身的访问限制两类问题，确认故障点出在双宽带的多WAN策略配置层面，不需要再花时间排查内网设备。
第二步恢复双宽带同时在线的正常状态，在运行VPN客户端的设备上用路由追踪命令，跟踪访问目标局域网内网IP的完整路径，查看路径第一跳的网关地址是否为VPN虚拟网卡分配的网段地址，如果追踪结果里出现了公网节点IP，就说明分流规则配置错误，本该走VPN隧道的内网流量被错误导向了公网宽带链路。
第三步登录VPN服务端后台核对回包路由配置，不少用户会把VPN服务端部署在其中一条宽带的网关后方，只配置了对应单条宽带网段的回包规则，没有补充指向另一条宽带接入网段的回包路由，导致第二条宽带链路下发起的VPN局域网访问请求，内网资源设备的回包找不到正确转发路径，直接被系统丢弃。
典型异常场景的定向故障排查
第一种高频异常是部分内网资源访问正常、部分资源完全无法连通，遇到这类情况不要优先改动VPN配置，先核对双宽带部署时的内网VLAN划分规则，很多用户为了实现两类业务流量分流，搭建双宽带的同时把内网也拆成了两个独立VLAN网段，VPN默认只放通了其中一个VLAN的访问权限，自然只能访问部分网段下的资源。
第二种高频异常是VPN拨号提示连接成功，但ping所有局域网内网IP都全超时，这类情况优先检查双宽带路由器上的NAT穿透开关状态，如果其中一条宽带的公网IP属于运营商级NAT后的内网地址，关闭NAT穿透的话VPN隧道的封装数据包会被路由器直接拦截，无法正常传递内网访问的请求数据。
排查操作中的常见误区规避
很多运维人员遇到访问异常就直接重置VPN全量配置，大象却忽略了双宽带场景下的防火墙策略校验，部分多WAN路由器自带的默认安全防护规则，会把VPN内网访问的连续数据包判定为跨网异常访问，主动做限流或者拦截，这种时候只需要在防火墙规则里把VPN对应的内网网段加入信任列表即可，不需要改动原有VPN的成熟配置。
还要注意不要随意修改VPN服务端的虚拟网段分配规则，双宽带环境下本身就存在两个不同的公网接入对应内网网段，如果VPN虚拟网段和任意一条宽带下的内网网段出现IP段冲突，大象加速器都会直接导致局域网访问出现时通时断的无规律异常，排查阶段可以优先核对三个网段的地址段是否完全错开，排除基础冲突问题。
