VPN 已连接却访问不了局域网？四项检查

隧道建起来了，内网门户也出现了，打印机却不再响应。局域网里没有任何东西损坏；是客户端改变了它对那些不再被视为本地地址的取路方式。请按顺序走完下面四项检查，一旦某一项给出具体的不一致就停下，因为同一个症状有四种常见成因，而只有其中一种能靠修改 VPN 解决。

第一，先看客户端装进系统的路由表

在 VPN 连接状态下打开客户端路由表。Linux 用 ip route，Windows 用 route print 或 Get-NetRoute，macOS 用 netstat -rn。你要找的是走隧道的那条默认路由，以及物理默认路由后来变成了什么。

全隧道路由的客户端往往不是替换 0.0.0.0/0，而是加进两条半默认路由 0.0.0.0/1 和 128.0.0.0/1。原默认路由仍然可见，却在每次查找中告负，所以路由表看上去完好，离开子网的流量却全部改道。如果 VPN 客户端提供分流隧道选项且策略允许，那是最干净的修法。

如果隧道必须继续做默认路由，那就改成本地子网固定路由。Linux 上要写明物理接口和网关；Windows 上要加 -p 让它持久化，并且不要猜接口号，而是从 route print 里读出来：

sudo ip route add 192.168.1.0/24 via 192.168.1.1 dev wlan0
route add -p 192.168.1.0 MASK 255.255.255.0 192.168.1.1 METRIC 1 IF 12

固定路由只在它写明的地址保持不变时才成立。每次连接都会拿到新编号 Wi-Fi 适配器的笔记本会再次破坏这条规则，所以在判定修法失败之前，先核对接口地址。

第二，确认那个地址本来就是本地地址

如果目的地址就在已连接子网之内，隧道默认路由根本轮不到生效，VPN 不是成因。192.168.1.0/24 客户端上 192.168.1.40 的打印机走的是直连路由；这个地址不通，要看设备、交换机或客户端防火墙，而不是 VPN。

最会骗人的情况是给本地服务器配了公网地址。在 LAN 内部去访问路由器的 WAN 地址再折返回来，需要发夹式 NAT，而很多路由器对端口映射根本不实现它。把私有地址和公网地址并排测一遍。如果私有地址通、公网地址不通，VPN 只是暴露了一个本来就存在的 NAT 限制。

主机名会让情况更糟。如果本地名称现在解析到公网地址，客户端就会一直试那条回不来的路。测试用私有地址，然后去修名字，而不是再加一条端口映射。

第三，看现在是谁在回答名称解析

企业解析器认识内网，通常对 NAS 的主机名、打印机的 Bonjour 名称或路由器的本地别名一无所知。VPN 把它的 DNS 服务器推下来之后，这些名字就不再解析，尽管它们的地址仍然可达。直接查询这个名字，并把结果和你知道设备持有的地址对比。

Linux 上 resolvectl query nas.local 会显示是哪个解析器应答的。Windows 上 nslookup nas.local 会指出服务器，ipconfig /all 会显示解析器顺序。如果本地后缀现在归企业解析器管，要么把该后缀指回本地解析器，要么对这个设备直接用 IP 地址。

发现是另一层。mDNS 和广播不跨越被路由的隧道，所以设备可以按地址访问，名字却始终不可见。这要靠反射器或一条本地 DNS 记录解决；路由解决不了。

第四，检查另一台机器是不是也在 VPN 里

当你要访问的那台机器自己也跑着 VPN 客户端时，你的会话能到达，但它的回包可能从另一条隧道出去。结果就是连接建立后卡住，或者 RDP 和 SSH 在你这边没有任何报错地超时。先去看那台主机的路由表和默认路径，再来责怪自己的客户端。

还要检查服务监听的地址。只绑定在隧道地址上的监听器会接受来自 VPN 的连接，拒绝来自 LAN 的连接，即使路由完全正确。这属于服务配置而不是网络路径，在被锁到 VPN 地址的管理界面上很常见。

留一条不依赖隧道的管理路径：一条写明你源网段的静态路由、一块接到 LAN 的另一块网卡，或者一个完全绕过隧道的控制台。等会话断掉再去设计这条路径，比在下一次连接前加上它难得多。

按失败的那项检查去修

如果路由表显示出半默认路由的夺取，策略允许就选分流隧道，不允许就选固定的本地路由。如果地址查明是公网，就把测试和名称都换成私有地址。如果解析器换了手，就把范围限到本地后缀，或者直接用地址。如果对方主机在隧道里，就修它的回程路径或监听绑定。

一次只改一处，然后重复同一项检查。为错误子网加的路由、写错一个字母的解析器后缀、加在会变编号的网卡上的固定路由，看起来都像原来的故障。正是重复把修复和巧合区分开。

把 VPN 连上时生效的路由、地址和解析器记下来。下一次重连至少会改动其中一项，而这份记录会让下一次故障变成一次简短对照，而不是从头侦查。