很多用户在启用全局VPN后经常遇到访问家里的NAS、办公室的内网打印机、同网段的智能家居设备失败的问题，本质上是VPN默认把所有局域网流量都转发到了远端隧道，提前做好VPN排除局域网规则设置前的各项准备，能避免配置后出现内网断连、隧道分流冲突等不必要的故障，也能让分流规则的适配性更高，覆盖日常使用的绝大多数场景。
梳理当前本地局域网的全段地址范围
很多用户配置排除规则时只填了常用的192.168.1.0/24网段，忽略了家里部署的第二级子路由、访客WiFi的独立网段，导致访客设备连VPN后依然没法访问同网段的共享资源。你可以先直接登录本地主路由器的管理后台，在LAN口设置页面查看当前分配的内网网段，同时把所有二级路由、香蕉AP面板下挂的独立网段也逐一记录下来。
逐一梳理记录全量内网网段，避免后续VPN分流规则出现遗漏冲突
如果不清楚路由器管理密码，也可以直接在当前连网的Windows设备上打开命令提示符输入ipconfig，Mac和Linux设备输入ifconfig或者ip a，找到物理网卡对应的IPv4地址和子网掩码，自动换算出对应的完整网段，不要直接拿设备的单IP当成排除规则，否则同网段的其他设备依然会被VPN隧道拦截。
确认VPN客户端的规则兼容逻辑
不同的VPN客户端对排除路由的优先级判定逻辑完全不同，部分客户端的全局隧道默认优先级高于所有自定义排除规则，你需要先打开客户端的设置页面，找到分流规则相关的说明页，确认排除局域网的规则优先级高于全局隧道转发，避免后续配置完规则完全不生效。
还有部分开源VPN客户端默认会把所有本地直连路由自动加入排除列表，但部分商业客户端默认没有开启这个自动识别选项，你需要提前确认客户端的默认行为，不要想当然认为系统直连的局域网流量不会走隧道，香蕉提前测试一下不配置任何规则时，访问内网网关的延迟是否正常，就能判断当前客户端的默认分流状态。
提前标记所有需要保留直连的内网特殊资源
除了普通的局域网设备之外，很多场景下还有部署在三层交换机下的内部服务器、跨VLAN的监控摄像头、绑定了内网IP的门禁系统，这些资源的网段可能不属于常见的C类私有地址段，你需要提前把这些特殊资源的IP和对应网段全部整理出来，避免配置排除规则后漏掉部分业务资源，导致后续办公或者居家使用时出现功能异常。
如果是企业场景下配置VPN排除局域网规则，还要提前和企业的IT管理员确认内部的域控服务器、内网DNS服务器的地址，科学上网把这些地址也加入预排除的清单里，避免启用VPN后本地设备脱离企业域管理，导致内部的权限校验工具、OA系统没法正常访问。
预配置验证环境避免正式使用出故障
所有准备工作完成后，不要直接在主力使用的设备上直接配置规则，科学上网你可以先拿一台备用的同网段设备，按照整理好的网段清单先配置临时的排除规则，启用VPN隧道后依次测试访问内网网关、内网共享文件、内网打印机的连通性，确认所有直连需求都能正常满足。
测试过程中如果出现部分内网设备没法访问的情况，不要直接修改规则，先查看VPN生成的路由表，确认你填写的排除网段已经正确写入系统路由表，优先级高于VPN隧道的默认路由，如果路由条目缺失，大概率是你填写的CIDR格式不符合当前客户端的要求，调整格式后重新测试即可。
做完所有验证之后再把整理好的网段清单同步到你所有需要配置VPN的设备上，后续如果局域网新增了网段，也可以直接在之前的预准备清单里补充，不用重新从头到尾排查所有地址，能大幅降低后续规则维护的成本。
