站点到站点VPN下部分设备无法返回数据的排查求助

看起来你碰到了站点到站点VPN里部分设备能正常访问、部分却连不上的棘手问题，我结合自己处理过类似情况的经验，给你梳理几个排查方向，希望能帮你定位问题：

• 优先排查目标设备的本地防火墙/访问控制
  很多NAS（比如Synology）、打印机这类设备默认会限制访问范围，只允许自身所在的物理子网IP访问，VPN过来的流量属于另一网段，很可能被设备自身的防火墙拦截了。

  • 针对Synology NAS：进控制面板→安全性→防火墙，检查是否有仅允许特定IP段的规则，把VPN的子网段添加到允许列表里；另外也可以看看“应用程序门户”里的服务是否绑定了所有网卡，有没有只绑定本地物理网卡的情况。
  • 针对打印机：登录它的Web管理界面，找访问控制或安全设置选项，确认是否允许VPN网段的IP访问，同时检查服务端口是否正确（比如有些打印机用8080而非默认80）。
  • 你可以先试试从VPN客户端ping目标设备的IP，如果ping不通，基本可以确定是设备本地防火墙的问题；如果ping得通，那问题大概率出在应用层或端口层面。

• 再确认VPN的路由配置（别跳过，有时候看似没问题实则有疏漏）
  登录两边的UDM，检查VPN的路由表，确保两边的子网都已正确发布给对方。比如本地子网是192.168.1.0/24，远程子网是192.168.2.0/24，要保证两边UDM都有指向对方子网的路由，且下一跳是VPN隧道。
  你可以通过UDM的CLI来验证：先进入unifi-os shell，再执行show ip route命令，查看是否存在对应子网的路由条目。

• 针对不同错误码的针对性排查

  • NAS的ERR_CONNECTION_RESET：这个错误一般是TCP连接建立后被重置，可能是NAS的服务端口（比如Synology默认的5000/5001）未对VPN网段开放，或者NAS的Web服务仅绑定了本地网卡。你可以在VPN客户端机器上用nc -zv <NAS_IP> 5000命令测试端口连通性，看看端口是否能正常打通。
  • 打印机的ERR_CONNECTION_REFUSED：这个是端口完全未开放，要么是打印机的服务未启动，要么是防火墙拦截了端口，或者你访问的端口不对。先确认打印机的正确服务端口，再用同样的nc命令测试连通性。

• 检查MTU值是否适配VPN隧道
  VPN隧道会给数据包添加额外封装，导致实际传输的数据包可能超过链路MTU值，引发分片或丢包，这也会导致部分设备访问异常（比如视频流对MTU不敏感，但TCP连接容易出问题）。你可以在VPN客户端机器上临时降低MTU值试试：

  • Windows：执行netsh interface ipv4 set subinterface "VPN连接" mtu=1400 store=persistent
  • Mac/Linux：执行ifconfig <vpn_interface> mtu 1400（替换<vpn_interface>为你的VPN接口名称）

• 抓包分析（终极排查手段）
  如果前面的步骤都没解决问题，建议通过抓包来追踪流量走向。你可以在UDM上开启抓包，或者在VPN客户端和目标设备上同时抓包：

  • 比如在Synology NAS上开启SSH登录后，执行sudo tcpdump host <VPN_CLIENT_IP>，看看是否有来自VPN客户端的请求包，以及NAS是否返回了响应，以此判断是请求没到，还是响应没回来。

备注：内容来源于stack exchange，提问作者GenevaBrown