今天工单说 VPN 能连但内网站打不开，我这样缩小范围

今天早上收到好几个远程员工工单，都说 VPN 已连接但打不开内部报表。以前遇到这种情况大家会先重装客户端，这次我先让用户别断线，抓了路由表、DNS 解析和 split tunnel 策略。结果发现 VPN profile 更新后少下发了一段内部网段，浏览器报错只是表象。处理时我先临时推了补丁 profile，再把 MDM 的策略版本锁住，避免下一批设备继续拿错配置。经验是，远程支持别只看"能不能连上"，要把 authentication、DNS、route、ACL 分层查。建议同行准备一份最小排查清单，让一线 helpdesk 能先收集证据再升级。我还把这次案例写进内部知识库，附上 macOS 和 Windows 的不同命令，因为用户描述往往只有"打不开"，一线需要能快速拿到可比对的网络证据。