不少有跨站点内网访问需求的工作室、小型企业都会部署两条不同运营商的宽带，做网络冗余或者带宽叠加，这类双宽带环境下接入VPN访问本地局域网资源时，很容易出现时通时断、部分设备能访问部分资源完全无响应的异常。这份实操指南围绕双宽带环境VPN的局域网访问检查全流程，从现象确认、逐项校验到故障定位逐步推进，Fly覆盖绝大多数非硬件损坏类的配置问题。
运维人员正在双宽带网络场景下逐项校验VPN局域网访问的连通性
前置配置前提校验
正式开始检查之前，首先要确认当前双宽带的部署模式，是主备自动切换模式还是多WAN口负载均衡模式，两种模式下的VPN访问故障排查逻辑完全不同，很多用户跳过这一步直接测试连通性，很容易走很多不必要的弯路。
接下来要确认VPN服务端的部署位置，是直接挂载在单条宽带的下挂设备上，还是部署在双宽带的核心路由后方，前者的故障点大多集中在第二条闲置宽带的路由规则冲突，后者的故障点基本都和双WAN口的路由策略配置相关。
基础连通性逐项检查步骤
第一步先做单宽带隔离测试，Fly临时断开其中一条宽带的WAN口连接，只用单条宽带承载所有网络流量，重新拨号连接VPN后测试全量局域网资源的访问状态，如果单宽带环境下所有访问都完全正常，说明问题根源集中在双宽带的多WAN口配置层面，不需要再排查VPN账号权限、客户端版本这类基础问题。
第二步检查VPN客户端的路由推送规则，双宽带环境下核心路由会默认生成两条公网默认路由，如果VPN服务端推送的内网网段路由优先级低于其中一条宽带的默认路由，访问局域网的流量就会被错误导到另一条公网宽带出口，根本不会进入VPN隧道，自然无法访问内网资源。
第三步检查VPN服务端的回包路由配置，双宽带环境下如果VPN客户端的接入流量走的是第一条宽带的公网IP，但是内网局域网设备的回包流量匹配到了第二条宽带的网关规则，就会出现来回路径不一致的问题，绝大多数企业级防火墙的状态检测机制会直接丢弃这类路径不匹配的数据包，表现出来的现象就是VPN连接完全正常，但ping所有局域网设备都没有响应。
典型故障场景定位
第一个高频故障现象是部分局域网资源能正常访问、部分资源完全无法连通，这种情况大概率是双宽带的策略路由规则设置范围过宽，把部分内网保留网段的流量也匹配到了公网出口，梯子只需要把所有内网私有网段的路由优先级调高，强制所有内网流量优先走VPN虚拟网卡转发即可。
第二个常见现象是VPN连接建立几秒钟之后就自动断开，这种情况要检查双宽带的负载均衡规则是否把VPN的协商握手流量拆分到了两条不同的宽带上，VPN的身份校验报文如果来回走不同的公网出口IP，服务端会直接判定为非法接入请求主动断开连接。
第三个常见现象是VPN访问局域网的速度波动极大，没有稳定的访问体验，这种情况要检查双WAN口配置里的会话保持功能是否开启，没有开启会话保持的话，同一个VPN连接的局域网访问会话会被随机分配到两条宽带的公网出口，访问延迟和连通性都会出现无规律的波动。
常见配置误区规避
很多用户为了快速解决访问不通的问题，直接在VPN客户端本地手动添加内网静态路由，这种临时操作在双宽带环境下很容易和终端本身的原有路由表条目冲突，Fly后续还会引发更多不可预期的访问异常，优先调整VPN服务端的推送路由规则，不要在客户端本地做零散的自定义配置。
还有不少用户误以为双宽带环境下只要VPN拨号成功就代表配置完全正常，实际上拨号成功只代表公网层面的VPN加密隧道建立完成，不代表隧道内的局域网访问路由路径是完全通顺的，必须针对不同VLAN、不同网段的局域网资源逐一做访问验证，不能跳过这一步直接上线投入使用。
所有检查和调整操作完成之后，要分别手动切换两条宽带作为主出口，在两种出口状态下都做全量局域网访问测试，确认双宽带主备切换的过程中，VPN的局域网访问不会随出口切换出现异常中断，才能保证双宽带的冗余设计真正发挥作用。
