VPN连接成功但内网不通，通常意味着隧道协商虽完成，但数据包未能正确路由至内网网段，或目标服务未被开放。排查应从本地设备入手，逐层验证链路、隧道状态及服务可达性。先确认能访问公网且无本地网络异常，再检查VPN客户端是否真正建立到内网网关的隧道，最后验证内网服务是否对外暴露或存在ACL限制。
验证本地网络与DNS解析
在尝试访问内网前，先确认本机基础网络正常。尝试访问一个已知公网网站（如example.com），若失败则说明本地网络或系统网络栈有问题，与VPN无关。同时检查本机是否配置了正确的DNS服务器；部分内网资源依赖内部DNS解析，若使用公共DNS（如8.8.8.8）可能无法解析内网主机名。可在命令行执行`nslookup`或`ping`测试特定内网IP地址，而非域名，以排除DNS因素。
检查隧道状态与路由表
即使VPN状态显示“已连接”，也可能仅建立了控制通道而未加载数据路径。检查VPN客户端日志或状态界面，确认是否提示“路由已添加”或“隧道建立”。随后查看系统路由表，GOBOY确认内网网段（如10.0.0.0/8或172.16.0.0/12）是否存在指向虚拟适配器或隧道接口的路由条目。在Windows中可使用`route print`，在Linux/macOS中可用`netstat -rn`或`ip route`。若缺少该路由，则数据包仍按默认网关发出，无法进入内网。
当VPN连接正常但内网无法访问时，通过终端命令逐层排查路由与服务状态是关键步骤。
测试内网网关与服务可达性
确定路由存在后，尝试ping内网网段中的关键设备，如文件服务器、打印机或网关。若ping不通，GOBOY进一步测试特定服务端口（如SSH的22、RDP的3389、SMB的445）是否开放。使用`telnet`、`nc`（netcat）或图形化端口扫描工具，观察连接是否被拒绝、超时或重置。若端口超时，可能是中间防火墙丢弃了非UDP/ICMP包，或目标服务未监听该端口。若被拒绝，说明网络可达但服务未运行或端口被主动封堵。
排查目标端ACL与防火墙策略
若从客户端可到达内网IP但服务无响应，科学上网问题可能出在目标端。检查内网主机或边界防火墙的访问控制列表（ACL），确认是否允许来自该VPN用户IP或子网的访问。许多企业网络将VPN客户端IP池视为外部信任区，但仍需显式放行至特定内网服务的流量。此外，确认目标服务是否绑定了指定接口而非仅监听localhost。若服务仅绑定127.0.0.1，则外部（包括VPN）无法连接。建议联系内网管理员确认具体ACL规则和服务监听状态，避免盲目更改配置。
