RRAS 的 VPN 客户端需要自己的 IPv4 池和回程路由

VPN 客户端连接成功并拿到地址，但需要使用它的 LAN 主机仍然无法应答。在 Windows Routing and Remote Access 中，VPN 客户端的内部地址来自一个与服务器 LAN 适配器分开配置的池，而 LAN 一侧需要一条回到该池的路由。这是两处改动而不是一处，并且失败方式各不相同。请按顺序完成，让地址规划和回程路径在旧网段退役之前得到验证。

打开控制台之前先预留网段

选择一个不与 LAN、其他 VPN 网段或任何被路由到本站的地址重叠的前缀。/24 对测试来说是个方便的尺寸，第一个可用部分可以交给客户端，其余留作增长空间。在输入控制台之前，把用途和负责人一并记录下来。在地址块两端都留出余量，以免日后拆分时被迫重新编号。

只存在于控制台里的地址规划，距离冲突只有一次重建。它还会不断膨胀：后来有人加了第二个网段，却没人检查第一个。把规划放在服务器文档旁边，而不是聊天记录里。

服务器的 LAN 适配器并不定义这个池。修改公共侦听器或给 LAN 添加适配器是另外一回事。这正是客户端能连上、却仍然从错误的地方拿到地址的原因。池位于服务器的 IPv4 属性中，而不是适配器列表里。

切换方式不等于新增网段

RRAS 有一个分配方式和一组网段。从 DHCP 切换到静态池是方式变更。在静态池已经启用时再加一个地址块，是网段变更。

在执行任何一个之前先预览这两个操作，并读清楚哪一个与服务器当前状态相符：

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

如果服务器仍在 DHCP 分配上，第二个 cmdlet 会失败或产生不可用的池。第一个会替换方式，而不是扩展现有池。两个预览都不会真正应用任何设置，所以先运行相符的那个，然后在控制台确认生成的池。如果不确定服务器处于哪种状态，请在 IPv4 属性页上查看分配方式，并列出已配置的网段：

Get-VpnIPAddressRange

分配方式为 DHCP 且网段列表为空，意味着第一个预览适用。存在网段的静态地址池，意味着第二个预览适用。

要考虑该设置可能需要的服务重启，也不要假设已连接的客户端会立刻重新编号。客户端在重新连接之前保留旧地址是正常行为。把改动安排在一个允许断开重连的时间窗口。

LAN 需要一条回程路由

假设 LAN 是 10.60.0.0/24，RRAS 服务器是其中的 10.60.0.10。该 LAN 上应答 10.250.50.0/24 中客户端的主机，需要一条经 RRAS 服务器到达该池的路径。没有这条路径，请求会到达，而应答会消失。

如果主机的默认网关是另一台路由器，那台路由器需要 VPN 前缀的回程路由。RRAS 服务器上的静态路由在这里没有帮助；回程路径必须存在于持有 LAN 网关的设备上，因此要按本站的做法把它加到路由表或动态路由进程中。

还要针对新的源网段检查主机防火墙和任何网络访问规则。为旧客户端网段编写的规则会拒绝新网段，即使分配成功。客户端通往 LAN 的路由和 DNS 解析是两个独立要求，隧道看起来健康时它们都可能失败。请分别测试每一项。

在旧池退役之前，先在一台设备上验证新池

取一个你能控制的授权，重新连接，读出客户端拿到的池地址。就是这一个数字把分配和路由区分开来。然后运行一个具名应用，观察回程流量，并尝试一个应保持被拒绝的目的地。三个观察，对应三种不同的故障模式。

名称解析值得单独测试：用 IP 访问可能正常，而客户端的 DNS 仍指向它无法到达的解析器。LAN 上的 DNS 服务器只有在客户端有到它的路由、且服务器接受来自新网段的查询时才可达。池迁移时这两点都常被漏掉。

只有在考虑了活动会话和维护流程之后，才退役旧网段及其例外。一个以新地址连接上的客户端只能证明分配，不能证明访问策略。在最后一个使用旧网段的会话过期之前，保持旧网段的文档记录。

用三个观察来检查结果

验收需要三个事实：客户端拥有来自新池的地址，LAN 主机能够到达它并得到应答，被拒绝的目的地仍然被拒绝。每一项都有自己的检查，因此失败会指向分配、路由或策略。请按这个顺序执行。

从客户端确认地址以及到一台 LAN 主机的路由：

ipconfig | findstr /i "IPv4"
route print -4

从 LAN 主机在一次操作中确认回程路径和策略。如果 ping 失败但应用可用，缺的很可能是一条 ICMP 规则而不是路由。如果两者都失败，先读主机上的路由再修改 VPN。把三项结果记进变更单，让下一个人从证据开始。