VPN连接建立成功但无法访问内网资源，通常是因为客户端未正确获取内网路由，或目标内网服务本身存在访问限制。排查时应遵循“先本地后远端、先基础后应用”的原则，依次确认本地网络状态、梯子软件隧道封装质量以及目标主机的可达性，避免盲目重启服务。
检查本地客户端网络状态
首先确认客户端操作系统已正确分配虚拟网卡IP地址。以Windows系统为例，在命令提示符中执行ipconfig，观察是否存在由VPN软件创建的“以Tunnel开头的适配器”或类似虚拟网卡，并确认其IPv4地址不在公网地址段（如10.0.0.0/8、自由猫VPN172.16.0.0/12或192.168.0.0/16）内。若虚拟网卡未获取到地址，说明隧道数据链路层故障，需检查VPN配置文件中的服务器地址及认证信息是否正确。
通过本地终端检查虚拟网卡与路由表，定位内网不可达的故障点。
验证内网路由表指向
路由决定流量走向。执行route print或查看路由表，确认指向内网网段（如10.10.0.0/16）的路由下一跳或接口是否指向该VPN虚拟网卡。若内网流量仍走物理网卡默认网关，则内网不可达。在VPN软件配置中，通常有“路由模式”或“拆分隧道”选项。若处于“全局路由”模式，所有流量应经隧道；若为“拆分隧道”，需确认内网网段已被加入允许通过隧道的列表。修改路由前需备份原配置，防止影响其他公网连接。
测试隧道链路连通性
在客户端向内网测试机发送ICMP请求，使用ping命令并指定源IP为虚拟网卡地址，例如ping -S 10.10.1.5 192.168.1.100。若物理网卡与虚拟网卡共存，必须指定源IP以确保探测包从隧道发出。观察是否出现“请求超时”或“不可达”错误。若指定源IP后仍无法通，可尝试traceroute或tracert命令，观察数据包在哪一跳丢失。若数据包在出隧道前丢失，问题在本地；若在隧道内或到达网关后丢失，问题在远程网络路径。
排查目标端防火墙与服务状态
若隧道链路正常但特定服务不可用，需检查目标内网主机的防火墙策略。内网服务器通常配置了基于源IP的访问控制列表。确认VPN客户端获取到的虚拟IP是否在目标服务器允许访问的内网网段或子网范围内。同时，登录目标服务器（若能通过其他途径）确认目标端口对应的服务进程正在运行，且监听地址绑定为0.0.0.0或内网IP而非仅localhost。部分中间件默认仅监听本地回环地址，需调整绑定配置才能通过VPN访问。
核对VPN网关策略配置
若客户端与目标均正常，需检查VPN网关的路由发布策略。网关需将内网网段路由通告给VPN客户端，同时在内网核心交换机或防火墙上，需配置回程路由，将VPN客户端虚拟IP网段指回VPN网关。若网关仅做NAT而不做路由转发，或防火墙未放行VPN子网到内网子网的流量，连接将中断。查阅网关管理界面或配置文件中的路由表项及ACL规则，确认双向流量均被允许。此步骤需网络管理员权限，非普通用户可自行操作。
