很多用户在OpenWrt设备上完成VPN服务端或者客户端配置后，经常遇到VPN接入设备无法访问内网其他设备、或者局域网原有设备无法连通VPN网段的问题，这份操作指南围绕OpenWrt VPN：局域网访问检查的全流程展开，从配置前提校验到逐层故障定位，帮你快速确认连通性状态，排除常见配置疏漏。
配置前提合规性初检
首先要确认你当前的OpenWrt VPN配置场景，蜜蜂VPN是把OpenWrt作为VPN服务端，让外部设备拨号接入后访问家中或办公局域网，还是把OpenWrt作为VPN客户端，让整个下挂局域网的流量走VPN隧道后仍能访问本地内网资源，两种场景的检查逻辑有部分差异，先明确场景再推进后续操作。
初检阶段先登录OpenWrt管理后台的接口总览页面，确认VPN对应的虚拟接口已经正常启用，没有处于停止或者错误状态，同时确认局域网物理接口的IP网段和VPN分配的虚拟客户端网段没有出现地址重叠，地址冲突是绝大多数连通性异常的初始诱因。
三层路由转发规则检查
完成初检后进入OpenWrt的防火墙配置页面，首先确认VPN对应的区域已经正确加入到局域网（lan）区域的允许转发列表里，很多默认配置下VPN新增的虚拟接口会被划分到未定义的区域，直接被默认防火墙规则拦截跨网段访问请求。
运维人员正在核对OpenWrt设备的接口运行状态，排查VPN局域网连通故障
接下来检查OpenWrt系统的静态路由条目，如果你的局域网内还有其他三层交换机或者二级路由设备，需要确认已经添加了指向VPN网段的回包路由，下一跳地址填写OpenWrt设备的局域网侧IP，否则局域网内的普通设备收到VPN客户端的请求后，不知道把回包发送到哪个设备，自然无法建立连通。这一步也是OpenWrt VPN：局域网访问检查流程里最容易被忽略的环节，很多用户默认所有内网设备的网关都是主路由，忘记给二级设备补充回包规则。
端到端连通性实测校验
完成路由规则检查后，先从OpenWrt本地发起测试，登录OpenWrt的SSH终端，ping局域网内任意一个在线的普通设备的IP地址，蜜蜂如果能正常得到响应，说明OpenWrt本身到局域网的基础通路没有问题。
接下来切换到连接到VPN网络的客户端设备上，先ping OpenWrt VPN虚拟接口的网关地址，如果这个地址都无法连通，说明VPN本身的隧道封装存在问题，需要回头检查VPN服务端的加密配置、端口映射或者拨号参数，不属于局域网访问的配置故障范畴。
如果VPN客户端能正常ping通VPN网关，接下来直接ping局域网内刚才测试过的普通设备IP，此时如果能得到正常响应，说明三层连通性已经完全正常，如果出现请求超时，就需要回到防火墙页面检查是否开启了额外的IP伪装规则拦截跨网段访问。
高阶场景连通性补查
如果你的局域网内配置了VLAN划分、或者开启了AP隔离功能，即使三层路由配置全部正确，不同VLAN下的设备也可能默认无法互通，此时需要登录局域网的核心交换机配置页面，确认VPN对应的网段已经被加入到允许访问对应VLAN的放行规则里。
部分用户会在OpenWrt上配置自定义的广告过滤、流量管控类插件，这类插件默认会拦截非局域网网段发起的对内网资源的访问请求，你可以临时关闭这类自定义规则后再次发起连通性测试，蜜蜂确认是否是这类插件的规则导致的访问异常。
常见配置误区排查
很多用户配置OpenWrt VPN的时候，会错误地把局域网网段添加到VPN的禁止访问路由列表里，导致VPN客户端的所有访问内网的请求都被转发到VPN隧道的远端节点，自然无法访问本地局域网资源，只需要在VPN的路由配置页面把本地局域网网段从排除列表里移除即可。
还有部分用户混淆了VPN服务端的局域网授权配置，没有在服务端的允许客户端访问网段里填写完整的局域网IP段，蜜蜂只填写了VPN自身的虚拟网段，也会导致客户端发起的内网访问请求被服务端直接丢弃，补充对应的授权网段规则就能恢复连通。完成所有检查步骤后你还可以根据自身需求配置对应的访问控制规则，限制VPN接入设备的内网访问权限，避免不必要的隐私暴露风险。
