VPN全隧道模式和常规的分流模式最大的区别，是设备所有进出的网络流量都会走VPN加密隧道转发，不会有任何流量直接通过本地公网网关传输，如果设置前没有做足对应准备，很容易出现本地内网资源失联、全网断网、域名解析失败等各类突发问题，反而影响正常的办公或者网络使用效率，下面就把设置全隧道模式前必须完成的准备工作和核心注意事项逐一拆解说明。
本地网络环境前置排查
首先要完整梳理当前本地网络下的所有内网专属资源，把对应的IP网段全部记录下来，比如日常办公场景下的文件共享服务器网段、内部门禁系统网段、局域网打印机的IP段，都要逐一确认可访问状态，避免开启全隧道之后，这些原本不需要走公网的内网流量被错误转发到远端VPN网关，导致本地设备完全找不到周边的内网设备。
运维人员正在VPN全隧道模式设置前开展本地网络环境排查工作。
接下来要排查本地设备的路由表状态，确认没有其他残留的代理、VPN进程抢占默认路由。你可以在Windows系统的命令提示符中输入route print指令，查看当前的默认路由条目，在Mac或者Linux设备上可以输入route -n查看，如果存在除了本地物理网关之外的其他默认路由，要先把对应的旧VPN进程、代理软件完全退出，清理掉多余的路由条目，避免后续新的全隧道VPN启动时出现路由冲突。
VPN服务端侧的配置预校验
很多普通用户误以为全隧道模式只需要在客户端点击连接就能生效，实际上全隧道模式对VPN服务端的配置要求远高于分流模式，你需要提前联系VPN服务端的管理员，确认服务端已经配置了完整的外网流量回包NAT规则，不然所有发往公网的流量都被转发到VPN网关之后，网关没有对应的转发规则，小黄鸭就会出现能连上VPN但完全打不开任何公共网站的问题。
还要提前确认服务端的DNS转发规则适配全隧道的运行要求，全隧道模式下客户端的所有DNS请求都会优先走VPN网关分配的DNS服务器，如果服务端只配置了内网专属的DNS，没有加入公共域名的转发规则，梯子很容易出现部分公共域名解析失败的异常情况，提前让管理员把常用的公共DNS加入服务端的转发白名单，就能避免这类解析类故障。
设备侧的权限与配置备份
设置全隧道模式之前，要确认当前登录的设备账号拥有修改系统路由表的足够权限，Windows系统的普通非管理员账号默认没有修改系统路由的权限，直接启动全隧道VPN客户端很容易弹出权限报错，甚至导致本地网卡配置异常，梯子你需要提前右键点击VPN客户端图标，选择以管理员身份运行，Mac端则要在系统设置的隐私与安全性板块，提前给对应VPN客户端开启网络扩展权限。
还要提前把当前设备的本地网络配置参数完整备份，把本地网卡的IP地址、默认网关、DNS服务器地址全部截图或者记录在本地文档里，小黄鸭万一开启全隧道模式之后出现无法恢复的网络异常，你可以直接对照原始参数重置网卡配置，不需要再花时间查找默认参数，大幅缩短故障恢复的时间。
边界确认与预测试准备
设置全隧道模式之前，要明确知晓全隧道的流量传输范围，全隧道模式下设备的所有网络流量，包括你访问私人社交平台、购物网站的流量，都会经过VPN服务端转发，如果是接入企业办公场景的全隧道VPN，要提前了解企业对应的网络合规要求，不要在隧道运行期间处理涉及个人敏感隐私的操作，避免超出预期的使用边界。
最后要提前做好基准连通性测试，先把之前记录的所有本地内网IP、网段逐一ping一遍确认连通正常，再尝试访问多个常用的公共网站，记录下当前的访问状态，等后续正式开启全隧道模式之后，就可以对照这些基准状态快速做故障定位：如果开启后内网资源正常但外网无法访问，大概率是服务端的回包路由配置不全，如果完全断网则大概率是本地路由表存在冲突。
