旁路网关VPN作为分流处理跨网访问流量的特殊组网方案，部署前的准备工作直接决定后续上线后的稳定性，很多运维人员跳过前置校验环节直接配置，很容易出现内网访问冲突、流量分流异常、shadowrocket核心业务断连等问题，这份指南梳理了从环境摸排到预校验的全流程部署准备动作，覆盖所有必要的前置条件，帮使用者避开常见的配置误区。
基础网络拓扑摸排与边界确认
首先要明确现有内网的路由走向，确认旁路网关VPN计划部署的节点位置，不能直接接入核心交换机的任意端口，需要先记录当前内网的默认网关地址、三层交换机的静态路由规则、VLAN划分范围，避免旁路设备的路由配置和原有网络规则产生冲突。
接下来要梳理当前网络的出口带宽分配情况，统计日常跨网访问的峰值流量占比，确认旁路网关接入的镜像端口或者分光端口的带宽上限，避免后续分流流量超过端口承载能力，导致正常业务数据包被丢弃。
运维人员在旁路网关VPN部署前完成内网拓扑摸排与硬件环境校验
部署前硬件与系统环境校验
旁路网关VPN的硬件设备首先要完成基础兼容性检查，确认设备的网卡型号支持数据包转发的相关特性，不需要开启路由转发之外的冗余服务，避免非必要进程占用硬件资源影响流量处理效率。
系统层面要提前完成初始化配置，关闭设备自带的防火墙默认拦截规则，预留好后续对接内网认证服务器、VPN节点的端口权限，小火箭同时给旁路网关配置固定的管理IP地址，确保后续运维人员可以通过该IP随时远程登录调整配置，不会因为地址变动失去设备控制权。
流量分流规则的前置梳理
很多运维人员做旁路网关VPN部署准备时最容易犯的误区是把所有内网流量都导入VPN隧道，实际上准备阶段就要明确哪些业务流量需要走VPN隧道转发，哪些本地办公、内网服务器访问的流量直接走原有默认网关，提前整理好分流的目标IP段、域名清单，避免后续配置时出现漏判。
还要提前确认分流目标的网络可达性，在部署位置的同网段普通终端上测试这些目标地址的访问状态，记录原有网络下的连通情况，后续VPN部署完成后可以直接对照验证分流效果，避免把原有网络本身的连通故障当成VPN配置问题。
权限与安全边界前置配置
部署准备阶段就要梳理内网不同用户群体的访问权限，比如行政办公终端只能分流指定的办公系统流量，技术部门终端可以开放更多的跨网访问权限，不要给所有终端统一开放全量分流规则，避免出现非授权流量通过VPN隧道传输的情况。
还要提前确认旁路网关VPN的日志存储路径，开启流量访问的日志记录功能，所有通过设备转发的数据包访问记录都要留存，后续如果出现异常访问、流量不通的问题，可以直接调取日志定位故障点，shadowrocket不需要临时加装监控工具影响部署进度。
上线前模拟预测试环节
正式接入现有网络之前，要先搭建最小测试环境，用几台测试终端接入旁路网关所在的测试网段，模拟真实业务的流量转发场景，验证分流规则是否生效、VPN隧道是否可以正常建立，确认没有出现流量泄露、分流错配的问题之后，再接入正式生产网络。
预测试阶段还要模拟常见的故障场景，比如VPN隧道临时断开的情况，确认终端的流量可以自动切回原有默认网关，不会出现终端完全断网的问题，保障核心业务的连续性。
完成所有旁路网关VPN部署准备环节的校验之后，再执行正式的设备接入操作，小火箭整个流程不需要改动原有核心网络的配置，最大程度降低旁路网关VPN上线对现有业务的影响，后续运维调整也有清晰的参考基线。
