一句话说清：开 VPN 就上不了内网？是它往路由表里塞了一条「全部走隧道」的路由，我用一条精确的永久路由把它抢了回来。命令和原理都在下面。

上篇给各位亲爱的读者朋友分享了网络排查，那算是硬件层面了，今天我打算给各位分享一篇软件层面的亲身经历。

相信对于VPN，各位同行都不会陌生，工作中也经常用到，VPN能给不在同一处的网络建立一条相对安全的连通隧道，让两处网络像是在一个网络中工作。至于VPN怎么设置，怎么搭建，不是今天要说的话题，今天先从最简单的开始，先说怎么使用。

对于我们的工作来说，常用VPN的场合就是给疾控中心上报职业体检数据，要访问和上报数据，就要先打开疾控中心给的VPN软件，登录他们分配的账号，填写他们给的IP地址及端口，才能正常访问他们给的网站页面。

正常情况，这样一个VPN网络环境已经是可以正常访问，进行数据交互了，但在我们这，这样使用却出现了状况。这种环境，只适合手工填写上报一些数据，数据少时这么使用是挺安全，VPN一开，除了他们自己的网站页面，其余全给阻断了，对于疾控中心来说，那不是一般的安全。但对于职业体检单位，每个人要上报的数据都很多，而且每个单位体检的人也多时，这种上报就会显得不切实际。这就又出现了使用接口，实现数据批量上报。

这个时候，问题就出现了，接口的数据，肯定是从内网数据库里拉出来的，但VPN一开，过一小会就会连内网也阻断了，那内网数据读取也就受了影响，接口上报读不到数据，就失去了意义。

刚开始，我给体检中心网报室想的办法是，先打开网报上传接口，把要上传的数据查出来，勾选好了，再开VPN，登录好VPN，再点上传，这样是能上传，但最多传5条数据，因为VPN的阻断，其他的数据上传就会报错，这样批量上传的意义就会大打折扣。

① 问题根源：VPN 塞进来一条“全走隧道”的路由

后来，连上VPN后，我查了下电脑的路由表，发现一个规律——这VPN一登录，就会往电脑里塞一条「所有地址都走隧道」的路由，去内网、去公网的流量被它一起带进隧道，而隧道那头只放行它自己的网站，内网自然就访问不了了。可Windows有个规矩：谁的网段写得越精确，就听谁的。那我就自己加一条更精确的路由，把要访问的内网服务器地址从隧道里抢回来，让它还走院内的网络。然后给自己电脑上添加了一条永久路由，命令格式及用法如下：

💡 老刘支招
Windows 路由就认一个死理——谁的网段写得更精确，流量就听谁的。VPN 塞的是“所有地址”的大网段，我加一条只针对那一台服务器的精确路由，自然就把它压下去了。

② 把内网地址这条路由加回去

route -p add 192.xxx.xxx.xxx mask 255.255.255.255 192.168.xxx.xxx metric 1

这条命令的作用，是告诉电脑：以后凡是访问 192.xxx.xxx.xxx 这台服务器的流量，都交给院内的网关 192.168.xxx.xxx 出去，不要走VPN那条隧道；而且是永久生效，电脑重启也不会丢。每个参数的意思分别是：

route：Windows 自带的路由表命令，看路由、改路由都用它；

-p：永久的意思。加上它，这条路由就写进系统里，重启电脑也还在；不加，重启就没了，等于白加；

add：添加一条路由；

192.xxx.xxx.xxx：目标地址，也就是我要访问的那台院内服务器；

mask 255.255.255.255：子网掩码。写满255，意思就是只精确匹配这一个地址，不牵连同网段的其他机器；

192.168.xxx.xxx：网关，也就是从哪个门口出去，这里是院内的网关；

metric 1：跃点数，可以理解成优先级，数字越小越优先。写1是为了让它稳稳压过VPN塞进来的那条大网段路由。

⚠️ 老刘踩过的坑
这条命令要在以管理员身份运行的命令行窗口里敲，普通窗口会提示权限不够——别白忙活一场。

添加好后，开了VPN，在能正常访问内网数据的同时，也可以正常访问疾控中心网站，也可以一直批量上传数据。完美解决了开VPN就访问不了内网数据的问题。

其实，我个人感觉，有些VPN的功能设置本来就存在一些问题，我们单位给疾控中心上报数据，同时使用了两个地区的VPN，要上报两个平台的数据，但其中一个平台的VPN登录后就不会有这种问题，内网数据和VPN网站都可以正常访问，上报数据完全不受影响，但另一个平台的就不行，一开就是我上面说的情况，会延迟同时阻断内外网，你要说他是设计缺陷吧，也不能，人家这最安全，一开，就只能访问人家的网站。你不能说人家VPN设计有问题，不能使用，所以就只能咱们自己想办法了！

以上就是本次分享，谢谢各位同行朋友的观看，有其他更好的想法，欢迎各位积极留言交流，文无第一，武无第二，技术也是，越交流提升越快！

📋 开 VPN 就断内网，三步走
① 查路由表：连上 VPN 后看一眼，是不是被塞了一条“所有地址都走隧道”的路由；
② 加精确路由：用 route -p add 把要访问的那台内网服务器单独拉回来（管理员窗口运行）；
③ 验证：内网数据能读、VPN 网站能开、批量上传不断，就对了。

❓ 关于这事，常被问到的几个问题

问：VPN 一开，内网就访问不了，到底是哪里的问题？

答：是 VPN 往电脑的路由表里塞了一条「所有地址都走隧道」的路由，去内网的流量也被它一起带进隧道了，而隧道那头只放行它自己的网站，内网自然就连不上。

问：为什么加一条路由就能抢回来？

答：Windows 路由认一个死理——谁的网段写得越精确，流量就听谁的。VPN 塞的是「所有地址」这种大网段，我加一条只针对那一台内网服务器的精确路由，优先级自然就把它压下去了。

问：命令里的 -p 和 metric 1 是干什么用的？

答：-p 是永久的意思，加上它这条路由就写进系统里，重启电脑也还在，不加就白加了；metric 1 是跃点数，可以理解成优先级，数字越小越优先，写 1 是为了稳稳压过 VPN 那条大网段路由。

问：这条命令为什么老是提示权限不够？

答：因为它得在「以管理员身份运行」的命令行窗口里敲，普通窗口会直接提示权限不够。这一点很多人第一次都会踩，别白忙活一场。

问：加完路由之后，VPN 的网站还能正常访问吗？

答：能。加的是只针对那一台内网服务器的精确路由，其他流量照旧走隧道。所以结果是：内网数据读得到、VPN 网站开得了、批量上传也不断，三样同时正常。

阅读原文：原文链接