本地设备在 VPN 上消失：三种彼此独立的故障

VPN 启用后从设备列表里消失的打印机，可能仍然在自己的地址上应答。列表由发现协议填充，名称可能来自解析器，而服务本身要通过套接字到达，这三者可以各自独立地失效。比较每一层上什么还能工作，就能知道该改哪项功能。一上来就把所有本地访问例外都打开，反而抹掉了证据。

这就是设备真的不见了与设备只是没有被通告之间的区别。

发现、名称和可达性是三个层

发现协议依赖多播或广播，而它们默认不跨越经过路由的隧道，所以设备可以从列表中消失，同时仍然完全可达。名称解析是第二层：VPN 可能更换解析器，原先由本地网络应答的名称，现在可能在别处解析，或者根本解析不了。可达性是第三层：一条路由、一条防火墙规则和一个正在监听的服务。即便另外两层正常，每一层也仍可能出问题。

要自下而上测试。一次可达性检查就能把分工弄清楚：nc -vz 192.168.1.20 443 如果成功，说明路径和服务都没问题，嫌疑就在名称上；如果失败，问题就转到路由和策略上。然后再问名称。你遇到的第一个失败就是该动手的那一层，上面的层补不了它。

先问地址，再问主机名

如果地址能应答而名称不能，问题在解析而不在路由。自行安装解析器的 VPN 客户端会改变由哪台服务器应答本地名称；不转发本地域名的客户端则会让名称无人应答。如果地址也不通，问题就在路径上：经隧道的默认路由、客户端一侧对本地流量的阻断，或者只允许物理网卡的防火墙规则。

如果两者都能用，只是自动发现不行，那设备只是没有通过隧道通告自己。这是基于多播的发现方式的正常行为，不是配置故障。按地址添加设备通常才是诚实的解决办法。

本地访问开关实际改变的是什么

本地网络访问设置通常允许发往直连子网的流量绕过隧道，而且它在不同客户端里做的事并不一样。它不会配置到远程办公室的转发，也不会改变主机防火墙或应用自身的权限。它同样不能让重叠的子网变得没有歧义。在广泛启用之前，先读客户端文档，弄清楚这个设置到底覆盖什么。

为一台可信设备开一条窄例外，胜过一刀切的放行，在可能刻意封锁的访客网络上尤其如此。私有地址并不是身份验证，所以怎么选取决于你所在的网络。

当网络发生重叠时

如果家庭网络和远程网络使用同一网段，路由就会变得有歧义，本地访问开关和例外都解决不了。同一地址上的两个服务不可能同时可达，哪个胜出取决于路由的具体程度和顺序，而不是意图。解决办法是地址规划，不是客户端设置。在为一个打印机耗掉一个晚上之前，先核对网段。

对于远程网关后面的设备，转发、主机策略和回程路由都归运营方管。客户端上的一个本地勾选框提供不了其中任何一项，向运营方提出请求比反复试开关更有用。

记下是哪一层失败、你改了什么。下一台设备仍会在这三个地方之一出问题。