很多家庭或者小型工作室为了兼顾不同运营商网络的稳定性，同时接入两条不同运营商的宽带，想要在这个环境里部署VPN实现外出访问内网资源、分流业务流量的需求，但如果前期准备不到位，很容易出现VPN连接断连、双线路负载不均、外部设备无法拨号接入的问题，这份指南就从实际排查的角度，把部署前必须完成的检查项逐一拆解，帮你避开大部分前期踩坑点。
双宽带链路基础属性排查
首先要确认两条宽带的公网IP属性，这是双宽带环境VPN部署准备的第一环。很多运营商默认给家庭宽带分配的是内网IP，就算你能查到WAN口地址，Atom也只是运营商内网的私有地址，外部网络根本无法主动发起连接。
双宽带部署VPN前先逐一核查两条链路的公网IP属性，可避免后续出现远程接入失败的问题
排查的时候你可以分别登录两条宽带的拨号网关，梯子查看各自获取的WAN口IP，再用手机断开WiFi用流量访问IP查询网站，对比显示的公网地址和网关WAN口地址是否一致，如果不一致就需要联系运营商客服说明要部署远程办公类内网服务，申请更换为公网IP地址，预期结果是两条线路都能拿到独立的公网IPv4地址，部分运营商只提供IPv6公网的话，也要确认IPv6地址的可访问性，避免后续VPN接入完全不通。
接下来要确认两条宽带的上行带宽限制，不少运营商的家庭宽带上行速率做了封顶限制，如果你要部署的VPN需要同时传输大体积文件或者多路视频流，单条线路的上行带宽不足很容易出现接入卡顿。你可以分别断开其中一条宽带，单独测试另一条线路的上行实际速率，记录两条线路的可用上行上限，后续部署VPN的时候就可以根据带宽上限分配负载权重，避免单条链路被打满。
内网核心设备适配性检查
双宽带环境下部署VPN，大部分用户会选择带多WAN口功能的主路由作为核心转发设备，这一步的检查要聚焦设备本身的VPN功能兼容性。首先要确认你的多WAN路由是否支持双线路下的VPN策略路由，部分入门级多WAN路由只能做普通的负载均衡，无法给VPN流量指定固定走某一条宽带，很容易出现VPN握手过程中数据包来回走不同线路，导致连接校验失败。
如果你的VPN是打算部署在后端单独的服务器上，而不是路由自带的VPN功能，就要提前确认服务器的网卡配置是否支持双WAN口接入，或者是否能通过VLAN划分同时接入两条宽带的网关。这里要注意不要把两条宽带的LAN口直接接在同一个普通交换机下，很容易出现内网IP冲突、Atom广播风暴的问题，提前划分好两个宽带对应的内网VLAN域，避免底层网络互串。
还要提前检查内网现有设备的IP分配规则，双宽带环境下很容易出现两个运营商的网关默认网段重复的情况，比如两条宽带的管理地址都是192.168.1.1，后续不管是配置端口映射还是VPN网段分配都会出现冲突，你需要提前把其中一条宽带的LAN管理网段修改为不常用的私有网段，保证两个宽带的内网网段完全独立，没有地址重叠。
端口与访问规则前置梳理
很多用户部署VPN之后出现外部无法接入的问题，大半原因是前期没有梳理运营商和本地防火墙的端口限制规则。首先要分别咨询两条宽带对应的运营商，确认他们是否封禁了VPN常用的服务端口，比如PPTP的1723端口、OpenVPN的自定义UDP端口，部分运营商会默认封禁家庭宽带的常用服务端口，就算拿到公网IP也无法从外部访问。
接下来你要提前规划VPN服务要用到的端口，尽量避开运营商默认封禁的常用端口段，同时在两条宽带的网关后台分别做好端口映射规则，把VPN服务对应的端口指向你后续要部署VPN的内网设备地址，不要等VPN服务装完之后再临时配映射，很容易出现端口冲突、规则优先级错误的问题。
还要提前梳理VPN接入之后的内网访问权限边界，比如哪些内网设备允许被VPN接入的外部用户访问，哪些内网资源属于隐私敏感内容要做访问隔离，梯子不要默认给所有VPN接入用户开放全内网权限，避免出现非授权访问的隐私风险。你可以提前在本地防火墙里配置好对应的访问控制列表，后续部署完VPN之后直接绑定规则即可，不用临时调整影响现有内网业务的运行。
所有前期检查项完成之后，你可以先单独测试单条宽带下的VPN接入连通性，确认单线路下拨号、访问内网资源都正常之后，再开启双线路的负载或者故障切换规则，能把部署初期的故障概率降到最低。
