不少用户在连接VPN后发现原本可以正常访问的局域网NAS、共享打印机、内网监控设备全部失联，想要配置VPN排除局域网规则把本地内网流量从VPN隧道里剥离出来，却经常因为前期准备不到位，出现内外网同时断连、远程办公网段被误屏蔽的反向故障。本文从实际故障排查的角度，把设置VPN排除局域网规则前必须完成的检查项逐一拆解，帮用户避开常见的配置误区，不用走反复调试的弯路。
确认当前VPN连接的默认路由优先级
很多用户遇到的典型现象是，还没做任何自定义配置，只要VPN一拨号成功，所有本地局域网的访问请求直接全部丢包，哪怕手动输入内网设备的正确IP也完全无法连通，这本质上是VPN虚拟网卡的默认路由优先级高于物理网卡的本地路由，所有流量都被强制导入了远程隧道。
这一步的检查操作没有任何门槛，Windows系统用户打开管理员权限的命令提示符，输入route print命令查看完整路由表，macOS或者Linux系统用户打开终端输入netstat -rn命令，就能看到当前系统所有生效的路由条目。
你需要重点核对0.0.0.0对应的两条默认路由，分别对应物理网卡的本地网关和VPN虚拟网卡的虚拟网关，确认二者的跃点数或者优先级数值高低。预期结果是你能清晰掌握当前系统的流量转发逻辑，极光如果VPN路由的优先级本来就高于本地路由，后续设置排除规则时才需要手动添加静态路由，如果优先级反过来，你就算不额外设置排除规则，本地局域网流量也不会走VPN隧道，完全不需要多余配置，很多新手就是没查这一步乱加静态路由，反而把需要访问的VPN远程网段给屏蔽了。
用户正在桌面环境中执行网络路由检查，为配置VPN排除局域网规则做好前置准备
完整梳理本地局域网的所有网段范围
这是最多用户踩坑的环节，不少人只记得主路由器的默认网段是192.168.1.0/24，完全忽略家里划分了独立VLAN的IoT子WiFi、极光加速器权限设置说明公司办公区的多业务内网网段、监控服务器专用的隔离网段，设置完排除规则之后，一半内网设备能正常访问，另一半流量还是莫名其妙走VPN隧道。
正确的梳理步骤是，先登录你的主路由器管理后台，查看DHCP服务分配的地址池范围，再逐一核对路由器下挂的所有VLAN接口、虚拟WiFi接口对应的独立网段，还要把手动设置了静态IP的NAS、网络打印机、本地服务器的单独地址也逐一记录下来，不要有遗漏。
这里要特别注意一个常见误区，不要直接照搬网上的教程把192.168.0.0/16整个大段全部加入排除规则，如果你通过VPN需要访问的远程办公业务系统，刚好也处在192.168.x.x的地址区间里，全段排除之后你反而完全连不上远程的办公资源，等于白做配置。
验证VPN客户端的规则适配能力
很多用户没提前做这个验证，直接去系统路由表手动修改规则，结果发现自己使用的VPN客户端自带强制全流量隧道的锁死机制，手动添加的静态路由只要一重启VPN就会被客户端自动覆盖，之前做的所有配置全部失效，还找不到问题出在哪里。
这里的测试操作非常简单，先临时断开VPN，随便找一个本地局域网里的闲置设备比如备用手机、极光加速器权限设置说明内网摄像头，ping它的IP确认能正常连通，之后再连接VPN，手动在系统路由表加一条指向这个测试设备IP的排除路由，之后再发起一次ping测试。
如果测试结果是能正常收到ping的回复，说明你的系统路由优先级高于VPN客户端的自动配置逻辑，后续的排除规则可以直接在系统层面配置生效，如果测试结果是请求全部丢包，说明VPN客户端自带路由接管功能，你需要先在客户端的设置页面找到“允许自定义路由”的开关手动打开，再继续后续的配置操作。
提前做好故障回滚的预案准备
不少用户配置规则的时候没留任何后手，改完路由之后既连不上VPN的远程资源，也访问不了本地局域网，甚至连路由器后台都进不去，最后只能强制卸载VPN客户端、重置所有网卡配置，反而把之前正常运行的网络参数全部弄丢。
你要提前完成的准备操作非常简单，极光加速器权限设置说明先把当前系统的完整路由表导出存到本地非系统盘的位置，Windows用户可以用route print加导出路径的命令把路由表存成文本文件，macOS用户可以直接把netstat -rn的输出内容复制存到记事本里，一旦后续配置出错，你可以对照原始条目逐条恢复，不需要盲目的重置网卡。
除此之外你还要提前把本地局域网的网关地址、VPN客户端的原始配置参数都记录在本地记事本里，万一配置过程中出现网卡参数异常，你可以直接手动把物理网卡的网关改回原始值，不需要重启设备就能快速恢复本地网络连接，不会影响正常的办公或者家用网络使用。
