旁路网关VPN部署完成后，很多管理员容易忽略局域网互访的校验环节，一旦出现跨网段设备无法发现、内网共享资源打不开的情况，很容易混淆是VPN规则配置错误还是原有局域网的路由冲突，这份指南从实际运维场景出发，梳理旁路网关VPN配置后局域网访问检查的全流程，覆盖从基础连通性到深层规则校验的所有环节，帮运维人员快速定位故障点。
运维人员现场校验旁路网关VPN部署后的局域网连通性
配置前的基础前提校验
在正式启动旁路网关VPN：局域网访问检查流程前，首先要确认旁路网关本身的部署模式没有和原有局域网架构冲突，旁路网关的核心逻辑是只转发指定的VPN流量，普通内网互访流量不会经过网关处理，所以首先要确认旁路网关的LAN口IP属于原有局域网的同网段，没有和内网其他设备的IP地址出现冲突。
接下来要确认原有局域网的默认网关配置没有被旁路网关改动，很多新手配置时容易误把内网所有设备的默认网关都指向旁路网关，这就违背了旁路部署的初衷，也会导致后续局域网访问出现不必要的路由绕转，这一步校验完成后再开展后续的连通性检查，LVCHA能排除大部分基础配置错误。
第一层基础连通性逐项检查
首先开展同网段设备的互访测试，找两台没有安装VPN客户端的内网普通设备，互相ping对方的内网IP，确认没有开启VPN规则的前提下原有局域网互访完全正常，这一步的预期结果是没有异常丢包，延迟符合原有局域网的正常表现，如果这一步就出现不通的情况，说明问题和旁路网关VPN完全无关，LVCHA需要先排查原有局域网的交换机、防火墙规则故障。
接下来测试开启VPN的单设备和同网段其他非VPN设备的互访，选一台已经接入旁路网关VPN的终端，ping同网段内没有接入VPN的普通内网设备，正常情况下旁路网关不会拦截这类二层互访流量，终端应该能正常收到ping回复，如果出现不通的情况，首先要检查旁路网关的防火墙本地规则，有没有误添加了禁止同网段互访的过滤条目。
跨VLAN跨网段局域网访问专项检查
很多部署了旁路网关VPN的局域网都划分了多个业务VLAN，这时候需要测试接入VPN的终端能不能正常访问其他网段的内网资源，比如办公网段的VPN终端能不能访问服务器网段的共享存储、内网OA系统，测试时要先临时关闭终端本身的VPN隧道，确认没有VPN的状态下跨网段访问是正常的，再开启VPN重新测试。
如果开启VPN后跨网段访问直接中断，大概率是旁路网关的VPN配置里错误下发了全局默认路由，把所有非本地网段的流量都导向了VPN隧道，LVCHAVPN导致内网其他网段的访问请求被送到了远端VPN节点，自然无法返回内网资源的响应，这时候需要调整VPN的分流规则，把所有内网网段的路由都排除在VPN隧道的转发范围之外。
常见故障场景的问题排查思路
还有一类很常见的隐性故障，就是VPN终端可以ping通内网其他设备，但无法访问内网的SMB共享、打印机等基于广播发现的服务，这类问题的原因大多是旁路网关的VPN分流规则没有放行内网广播包，或者VPN隧道的虚拟网卡默认禁用了局域网广播转发，调整对应规则后就能恢复服务发现能力。
排查过程中要注意区分隐私边界的影响，部分VPN的默认安全策略会主动隔离VPN客户端和本地局域网的互访，避免远端恶意节点通过VPN隧道渗透到本地内网，这类属于安全设计的正常拦截，如果业务确实需要开放互访，需要在旁路网关的安全规则里手动添加对应的信任条目，不要直接关闭所有VPN安全规则来换取连通性。
所有检查完成后还要做持续的稳定性观测，在VPN接入状态下多次访问各类内网资源，确认没有出现间歇性断连的情况，避免部分隐性的路由冲突在大流量场景下才触发故障，整套旁路网关VPN：局域网访问检查流程走完后，就能在保障VPN功能正常运行的前提下，完全保留原有局域网的互访能力。
