出发前，保存一份离线也能读的 VPN 配置指南
在需要之前就把指南存好。把客户端、端点、支持渠道和恢复步骤保存在离线环境，并弄清哪些步骤仍然需要联网。
修复隧道的说明不应该放在隧道后面。失败是可以预见的：收藏在工作区的内网页面、放在企业登录之后的云盘文件夹里的配置文件、存在聊天账号里、却同样要那套凭据才能拿到的支持电话。出发前保存一份带日期的副本，连同那些没有网络也能用的恢复步骤。哪些步骤离线做不完，也要同样说清楚。
为什么副本必须先在隧道之外存在
循环依赖很容易搭起来，坐在 Wi-Fi 正常的工位上也很难看出来。每一个单独的选择都显得合理：收藏内网、把配置文件放在团队盘里、把支持联系人存在聊天应用里。它们是一起失效的，不是一个个失效，而且失效发生在别的什么都用不了的网络上。把这条链画在纸上，通常就足以把它暴露出来。
问问自己：在一台既没有隧道、也没有已保存会话的新笔记本上，你会先打开什么。如果答案是一个只能在 VPN 后面打开的页面，这条链已经断了。
值得保存的四个项目
| Item | Works offline | What to record |
|---|---|---|
| Client and version | Only if the installer is local | Keep the package, not just a download link |
| Profile and endpoint | Only if the file is saved | Where the current profile came from and when |
| Support route | Only if stored locally | A number or address reachable without the account |
| Enrollment or certificate step | Usually no | Which administrator or network the step needs |
指南本身要带版本或日期。设置对话框的旧截图比没有截图更糟，因为它看上去很权威，描述的却是两个版本之前就变了的过程。恢复步骤如果按自己的节奏变化，就单独标注日期。读者应该一眼就能判断眼前这一页是不是最新的。
把这条笔记写成可以照抄的形状。下面这个例子故意写得很枯燥：版本、客户端、配置文件来源、支持路径，以及仍然需要联网的部分。
guide-version: 2026-10-14
client: OpenVPN 2.6 (installer kept in ~/vpn/)
profile: vpn.example.net:1194, downloaded 2026-10-14
support: phone number stored in contacts, not in chat
requires-network: enrollment, certificate renewal, MFA reset密钥要跟说明分开存放
私钥和凭据应放进受保护的存储，而不是粘贴到普通的共享笔记里。笔记是给流程用的；密钥材料属于密码管理器或平台的安全存储。导出的配置文件如果含有密钥，就按有效的访问材料对待，因为它本来就是。把它复制到旅行文件夹、相册或邮件草稿里，文件就变成了凭据。如果组织允许离线副本，就放在获批的位置，并标注日期。
在这里，审批和加密同样重要。内部指南的私人副本即使出于好意，也可能与政策冲突。
保存的文件做不完的步骤
安装或导入一个本地文件，并不会建立远端授权。登录、注册、当前的证书和恢复验证，都可能需要一条可用的通路或一位管理员，本地文档再多也改变不了这一点。离线指南应该在相关步骤旁边，用平实的语言把这一点写清楚。写上“这一步需要联网”，就能省下一小时反复重试一次注定失败的导入。
证书续期值得单独一行。证书在旅途中间过期的客户端，靠一份保存的 PDF 是修不好的，所以出发前先看有效期窗口，趁通路还在的时候续期。把到期日记进笔记，而不只是记在客户端里。续期之后测试一次新证书，让保存的副本和正在使用的配置保持一致。
演练一遍，然后让它保持最新
用受支持的客户端对目标资源做一次测试，然后断开连接，确认不重启也能重新连上。只在第一次尝试时才起来的隧道，是值得在家里就找出来的问题。如果条件允许，在一个带强制门户的受限网络上再测一次，因为引导和门户这几步究竟行不行，正是在那里见分晓。
新的配置文件到手时，更新离线笔记，并删掉任何可能被误导入的副本。然后重新核对表格里的四项，因为上一季度还正确的指南，恰恰是最容易悄无声息失效的那一类。演练过的副本是证据；没测过的副本只是希望。把笔记和安装包放在一起，不要放进一个非得连上 VPN 才能打开的文件夹。