确认本地网络状态
排查起点是确认本地非VPN流量是否正常。在断开VPN客户端或将其设为未连接状态后，尝试访问一个稳定的公网地址，例如知名搜索引擎或本地运营商的DNS服务器。如果此时也无法上网，问题出在本地网卡驱动、物理线路或路由器基础配置上，与VPN会话无关。若本地网络通畅，说明故障范围锁定在VPN隧道或后续转发路径上。
检查隧道建立与保活状态
重启VPN客户端后，观察其日志或状态界面。重点确认是否成功完成密钥交换并建立隧道。对于IPsec类协议，需检查IKE SA（安全关联）是否处于稳定状态，以及是否生成了有效的IPsec SA。如果日志显示“Phase 1失败”或“握手超时”，通常指向对端网关不可达、端口被阻断或证书过期。此时应优先检查本地到网关的三层连通性，而非深入应用层。
若隧道显示已建立但随后频繁断开，梯子观察保活报文（Keepalive）的间隔与超时设置是否匹配。网络抖动或防火墙空闲超时策略可能导致会话被单向丢弃。此时需在本地抓包观察对端是否发送了关闭通知，还是本地检测不到响应后主动重置。
从本地非VPN流量的基础连通性测试入手，快速锁定故障层级。
验证路由与NAT策略
隧道建立成功不代表流量能正确路由。检查本地路由表，确认目标IP段是否被正确添加到VPN路由中。若目标流量仍走物理网卡而非虚拟网卡，银河说明路由优先级设置错误或VPN未获取正确网关信息。在Windows下可通过`route print`查看活动路由表，在Linux下使用`ip route`。重点核对默认网关与VPN网关的掩码关系，避免路由冲突导致流量黑洞。
NAT会话异常常与策略冲突有关。检查本地防火墙是否对特定出站端口实施了NAT转换，以及VPN客户端是否启用了分裂隧道（Split Tunneling）。如果策略要求所有流量都通过隧道，但某些协议（如DHCP或L2TP）被NAT设备阻断，会导致部分服务不可用。此时需核对官方文档中关于NAT穿越或端口映射的具体要求，避免盲目修改防火墙规则。
排查目标服务端响应
当本地与隧道状态均正常时，问题可能源自目标服务。尝试在隧道建立状态下，直接Ping VPN网关的内网接口IP。如果网关可达但目标主机不可达，检查目标主机是否在线、其防火墙是否入站放行，以及中间交换机是否有ACL限制。若网关本身也不通，则可能是隧道对端的接口状态异常或会话表项已满。此时应联系网管查看对端设备日志，确认是否有连接数限制或接口错误。
