旁路网关VPN的核心特性是不需要修改内网所有终端的默认路由，仅把指定业务流量导向VPN隧道，不会干预普通内网访问的链路走向，很多部署故障本质都是前期准备工作缺失导致的，比如内网断连、分流规则失效、非授权网段意外走隧道等问题，这份实操指南覆盖部署前所有可落地的核查、前置配置步骤，适配绝大多数中小办公、分支站点的旁路VPN部署场景。
现有网络拓扑与权限边界摸排
首先要完整梳理当前内网的三层网络架构，标记出核心交换机、出口主路由、独立DHCP服务器、核心业务服务器的物理位置和对应网段，不要在拓扑信息不全的情况下直接接入旁路设备。
要提前确认旁路网关VPN的物理接入点位，常规部署方式是接在核心交换机的独立VLAN端口中，不需要串接在主路由和公网链路之间，这也是旁路模式和串接模式VPN最核心的部署差异。
同步完成内网隐私边界的标记工作，把绝对不允许走VPN隧道的业务网段，比如财务系统专属VLAN、本地存储服务器的管理网段全部整理成清单，快点VPN后续配置分流规则的时候直接把这些网段加入排除列表，避免出现数据泄露风险。
运维人员在办公站点机房梳理内网核心设备分布，完成旁路VPN部署前的拓扑摸排核查工作
硬件与系统环境预校验
核对准备用作旁路网关的设备的网口配置，快点至少预留一个独立的千兆LAN口接入核心交换机，旁路网关VPN不需要额外配置独立公网WAN口，只要本身能通过核心路由访问公网即可。
提前给旁路网关配置和核心路由同网段的静态管理IP，快点登录主路由的后台给这个IP开放VPN服务所需的对应端口放行权限，避免现有出口防火墙的默认规则拦截VPN服务的监听报文。
登录核心交换机的配置后台，关闭旁路网关接入端口下默认开启的ARP绑定、端口隔离功能，否则旁路网关发回的路由宣告报文会被交换机直接丢弃，后续终端就算配置了正确的分流规则也收不到回包。
分流规则前置梳理与预验证
很多用户部署旁路网关VPN后出现全量流量走隧道的异常，快点本质是部署前没有梳理清楚分流目标，要提前把所有需要走VPN链路的业务域名、公网IP段整理成明确的清单，不要直接配置0.0.0.0/0的全量路由规则。
拿一台普通办公测试终端手动添加静态路由，把整理好的分流目标段的下一跳指向预留给旁路网关的静态IP，测试访问对应资源时的路由跳转路径，确认没有和现有内网的静态路由规则产生冲突。
故障回退机制预搭建
部署前必须在核心路由上调整路由优先级，把原有默认路由的优先级设置得比旁路网关发布的分流路由更高，一旦旁路设备意外断电离线，所有流量会自动切回原有公网链路，不会出现全网断网的严重故障。
提前准备一台配置一致的备用旁路设备，提前烧录好完全相同的系统镜像和分流规则，主设备出现硬件故障时可以直接插上网线接入核心交换机，不需要重新做配置调试就能快速恢复服务。
所有准备工作全部完成后，不要直接给全量终端下发分流配置，先选取2到3台分属不同网段的测试终端做试运行，确认访问内网共享资源、普通公网服务、VPN专属业务都没有异常之后，再逐步扩大终端覆盖范围。
