不少有多线接入需求的工作室、分布式办公团队会部署两条不同运营商的宽带，实现带宽冗余或者业务分流，这类场景下自行搭建VPN实现外出设备访问内网资源时，经常出现时通时断、部分设备能访问部分失联的异常，很多运维人员排查时习惯直接从VPN配置入手，忽略双线路带来的路由冲突问题，本文梳理的双宽带环境VPN：局域网访问检查全流程实操方法，可以帮使用者避开无效排查的坑，快速定位故障点。
双宽带环境VPN局域网访问检查的前置配置确认
正式启动检查前首先要确认双宽带的整体部署架构，目前主流的双宽带接入分为两种模式，一种是使用带双WAN口的主路由统一承接两条宽带，下挂统一的局域网，另一种是两台独立单WAN路由分别接两条宽带，各自下挂子局域网，不同架构的检查逻辑差异很大，不能直接套用单宽带环境的VPN排查经验。
运维人员在双宽带接入的办公场景下开展VPN局域网访问状态排查工作
接下来要确认VPN服务端的部署位置，不能将VPN服务单独部署在某一条宽带的下级子路由中，否则VPN流量只会默认走对应单条宽带的出口，双线路的冗余、分流逻辑完全无法生效，后续检查中也很容易出现线路切换后隧道直接断开的问题。
最后要提前完成内网设备的静态IP绑定，把所有需要通过VPN访问的局域网设备，比如共享存储、办公服务器、火烧云内网打卡系统的地址全部设置为固定静态IP，避免DHCP动态分配地址导致的IP漂移，防止后续测试中把地址变动引发的不通误判为VPN线路故障。
分层递进的实操检查步骤
第一步先完成单线路基线测试，临时断开第二条宽带，只保留单条WAN口在线，用外网的移动设备或者家用电脑拨入VPN，尝试访问局域网内的各类授权设备，火烧云VPN确认单宽带环境下VPN的账号权限、隧道协议、端口映射配置全部正常，先排除VPN本身的基础配置错误。
恢复双宽带全量接入之后，登录双WAN主路由的后台查看系统路由表，确认已经生成两条分别指向不同WAN口的默认路由，同时要检查内网LAN段的回程路由没有被双WAN默认的策略路由规则覆盖，不少双WAN路由出厂默认会把VPN拨入的流量随机分配线路，如果其中一条宽带的外网IP是运营商分配的私网地址，就会导致回程数据包直接丢失。
接下来完成分线路定向拨测，把VPN的服务端口分别映射到两条宽带的公网接口上，用不同的外网设备分别通过两条宽带对应的公网IP拨入VPN，分别尝试访问局域网内不同VLAN的设备，逐一记录每一条线路下的访问连通状态，确认两条线路的VPN隧道都能正常对接内网。
最后还要检查VPN客户端获取到的虚拟网卡网段，确认这个网段没有和两条宽带各自下挂的子LAN段出现地址段重叠，如果VPN分配的虚拟地址段刚好和第二条宽带下挂的监控摄像头网段重合，就会出现访问摄像头的流量被错误导去VPN虚拟网关的异常情况。
结果判定与常见误区排查
双宽带环境VPN：局域网访问检查的正常预期结果是，不管用户通过哪一条宽带的公网地址拨入VPN，都可以正常访问所有授权的局域网设备，就算其中一条宽带临时断连，VPN隧道也可以自动切换到另一条可用线路，不会中断正常的局域网访问流程。
很多用户遇到VPN访问局域网延迟偏高就直接判定隧道故障，实际上有可能是双宽带的负载均衡规则把VPN的回包流量随机分配到了跨运营商的线路上，比如用户用联通宽带的公网IP拨入VPN，回包却走了电信宽带的出口，就会出现跨网访问的额外延迟，这种情况只需要在双WAN路由里配置VPN流量的回程路由绑定对应进线的线路即可解决。
检查过程中还要同步关注内网访问的隐私边界问题，双宽带环境下如果没有配置正确的ACL访问控制规则，拨入VPN的外部设备有可能通过路由跳转访问到另一条宽带下的未授权设备，完成连通性检查之后要顺便确认规则已经限制VPN客户端只能访问指定的局域网资源，不能遍历整个内网网段。
