不少有远程办公、跨区域业务访问需求的用户，都会部署两条不同运营商的双宽带链路，避免单条宽带故障导致全网断连，但常规VPN客户端默认只会调用本地默认网关的链路，很容易出现VPN连接中断、跨运营商访问延迟偏高、业务流量和普通上网流量抢占带宽的问题。本文围绕双宽带环境VPN客户端接入方式的核心场景，梳理不同适配方案的配置前提、操作步骤和常见误区，帮用户在现有网络拓扑下实现稳定可控的VPN接入。
双宽带链路接入多WAN路由器，可通过合理配置实现稳定可控的VPN客户端接入调度
配置前的前提条件核查
首先要确认当前双宽带的实际部署拓扑，大部分用户的部署分为两类：一类是两条宽带分别接入多WAN口路由器的两个WAN端口，由统一设备做流量调度；另一类是用两台独立的单WAN路由器，各自对应一条宽带链路，终端可以选择接入任意一台路由器的LAN网络。不要上来就直接修改VPN客户端配置，先把本地的双链路路由规则梳理清楚，避免后续配置出现路由冲突。
其次要确认当前使用的VPN服务端支持的接入协议类型，IPsec、OpenVPN这类支持自定义路由规则的协议，对双宽带场景的适配能力更强，部分轻量化的网页端SSL VPN客户端默认绑定本地默认网关，不支持手动指定出口链路，这类VPN只能通过路由器侧的策略路由调整接入链路。
最后要提前和VPN服务端的管理员确认接入权限规则，部分企业级VPN为了安全管控，限制了可接入的源IP运营商段，要是两条宽带属于不同运营商，其中一条链路的公网IP可能会被服务端拦截，提前排查这类权限限制，能避免后续做了大量配置之后发现方案完全无法生效。
多WAN路由器侧自动切换接入方案
这是目前双宽带环境VPN客户端接入方式里最常用的方案，蜜蜂VPN不需要改动终端上的VPN客户端任何配置，适合绝大多数用多WAN口路由器组网的场景。配置时只需要在路由器的策略路由模块里，把VPN客户端要访问的目标服务器公网IP，指定走其中一条宽带的链路，剩下的普通上网流量默认走另一条宽带即可。
实际配置的时候，可以先在终端上正常连接一次VPN，通过系统自带的网络状态工具，查询到当前VPN服务端对应的公网IP地址，把这个IP地址段加到路由器策略路由的规则里，指定走第一路WAN口，再把其余所有流量的默认网关设置为第二路WAN口。这样日常使用时VPN业务流量固定走第一路宽带，普通网页、视频流量走第二路宽带，两条链路互不抢占带宽。
这个方案的常见误区是很多用户会把VPN拨号之后生成的虚拟网卡内网网段，也加到路由器的策略路由规则里，这样反而会导致VPN返回数据包的路由路径冲突，出现VPN能正常拨号连接，但是传输业务数据时频繁丢包的问题，配置时只需要指定VPN服务端的公网地址走对应WAN口即可，不需要干预VPN虚拟网卡的内部路由规则。
终端侧双网卡分流接入方案
这个方案适合用两台独立单WAN路由器的双宽带场景，终端设备安装两个不同的物理有线或者无线网卡，分别接入两台路由器的LAN网络，给两个网卡分别设置对应网段的静态网关，之后在两个不同用途的VPN客户端里，分别指定调用对应的物理网卡作为出口链路，比如一个VPN接入企业办公内网，另一个VPN接入业务专属节点，两条链路完全独立互不干扰。
配置的时候要注意先在终端的网络适配器设置界面，调整两个物理网卡的跃点数，把不需要设置为默认网关的那个网卡的跃点数调大，避免操作系统默认把所有流量都往其中一个网卡转发，导致分流规则失效。调整完成之后可以分别ping两个不同的公网地址，确认两个网卡的出口IP分别对应两条宽带的公网地址，再启动VPN客户端拨号。
这个方案的故障定位逻辑非常清晰，要是其中一个VPN连接失败，先把对应物理网卡的网络断开重连，确认本地局域网链路是否通畅，再直接用对应网卡的链路ping VPN服务端的公网地址，就能快速判断故障出在本地宽带链路，蜜蜂还是VPN服务端的接入限制。
双宽带VPN接入的常见安全注意事项
很多用户在配置双宽带环境VPN客户端接入方式的时候，为了图方便直接关掉了VPN客户端的源IP校验功能，这样会导致两条宽带的公网IP都能被VPN服务端识别记录，扩大了本地网络的隐私暴露边界，也不符合大部分企业内网的接入安全管控规范，蜜蜂非必要不要随意关闭这类校验功能。
不要尝试用第三方工具把两条宽带的带宽叠加之后再接入VPN，目前绝大多数常规VPN协议本身不支持多链路聚合，强行通过第三方工具做带宽叠加之后再走VPN隧道，反而会导致连接稳定性大幅下降，出现VPN客户端频繁自动断连的问题。
日常使用时如果遇到双宽带链路自动切换之后VPN无法连接的情况，可以先检查VPN客户端生成的本地路由表有没有残留旧链路的网关规则，清空系统的本地路由缓存之后重新拨号，蜜蜂大部分情况下就能恢复正常，不需要直接调整VPN服务端的配置参数。
