VPN 撥接成功卻無法存取內網資源？完整排除指南（含圖解）

VPN 連線成功但無法訪問公司內網，核心原因與逐步排除

PPTP/L2TP/IPsec VPN 撥號成功，代表隧道已建立、認證通過。無法存取內網（如 192.168.1.x、10.0.0.x）通常是路由、防火牆、閘道、DNS、子網重疊五大問題。本文提供系統化排查流程。

第一關：確認子網不重疊（最常見）

原則：VPN 客戶端所在區域網路（家用/咖啡廳）網段 不能 與 VPN 伺服器內網（公司 LAN）網段相同。

• 例：公司內網 192.168.1.0/24，家用路由器也設 192.168.1.0/24 → 封包不知該走 VPN 還是本地 → 無法存取。
• 解決：將家用/遠端路由器 LAN IP 改為不常用網段，如 192.168.88.0/24、10.10.10.0/24、172.16.0.0/24。

第二關：VPN 客戶端啟用「在遠端網路上使用預設閘道」

此選項決定所有流量（含上網）是否強制走 VPN 隧道。

1. 控制台 → 網路與網際網路 → 網路連線 → 右鍵 VPN 連線 → 內容。
2. 網路分頁 → 選取「網際網路通訊協定第 4 版 (TCP/IPv4)」 → 內容 → 進階。
3. 勾選「在遠端網路上使用預設閘道」 → 確定全關閉 → 重新撥號。

第三關：目標主機（內網伺服器/電腦）網路設定

• 正確的預設閘道：必須指向 VPN 伺服器的 LAN IP（如 192.168.1.1），才能將回傳封包送回 VPN 隧道。
• 防火牆：Windows 防火牆/第三方防火牆必須允許 VPN 客戶端 IP 池網段（如 172.16.0.0/24）存取對應埠（RDP 3389、SMB 445、HTTP 80 等）。
• 建議：在「進階安全性 Windows Defender 防火牆」新增輸入規則，允許來自 VPN 子網的連線。

第四關：VPN 伺服器端檢查

• 防火牆/ACL/MAC 過濾：確認未封鎖 VPN 虛擬介面（PPP adapter）或客戶端 IP 池。
• PPPoE 伺服器功能：若啟用且設「強制撥號」，未撥號的 VPN 客戶端無法上網（不影響內網存取）。
• 路由表：VPN 伺服器需有通往內網各網段的路由（通常直連 LAN 口已有）。

第五關：DNS 解析

• VPN 介面取得的 DNS 伺服器應指向公司內部 DNS（通常是 AD/DC IP）。
• 若無法解析內網主機名，手動在 VPN IPv4 設定指定 DNS，或編輯 C:\Windows\System32\drivers\etc\hosts。

快速驗證指令（於 VPN 連線後執行）

ipconfig /all                     :: 確認 VPN 介面 IP、閘道、DNS
ping <公司內網伺服器 IP>          :: 測試連通性
tracert <公司內網伺服器 IP>       :: 看封包路徑是否走 VPN 介面
nslookup <內網主機名>             :: 測試 DNS 解析
route print                       :: 檢查路由表優先順序

常見錯誤與對策速查表

核心口訣：子網不重疊 → 勾選預設閘道 → 目標主機閘道正確 → 雙向防火牆放行 → DNS 指向內部。逐項驗證，必找到癥結。