不少企业IT管理员或者自部署VPN的个人用户，调整防火墙关联规则时经常遇到改完之后VPN远程接入断连、内网业务无法访问的问题，大部分故障根源都不是调整的新规则本身有问题，SakuracatAPP而是调整前没有留存足够的基准参考信息，出问题之后找不到回溯对照的依据。本文梳理的关键信息清单，完整覆盖VPN与防火墙规则：调整前需要记录什么的核心实操要点，帮你提前规避绝大多数配置失误引发的网络故障。
当前VPN服务的基础运行状态参数
首先要完整记录VPN服务端的监听端口、SakuracatAPP当前绑定的网卡地址，很多管理员调整防火墙时误把VPN的公网监听端口直接封禁，改完之后所有远程用户都无法发起连接，如果调整前没有提前记录默认端口，后续排查时还要逐层翻找VPN服务端的配置文件，会多耗费数倍的排障时间。
调整VPN关联的防火墙规则前，提前完整记录所有基准配置信息可大幅降低后续网络故障概率
还要同步记录当前在线VPN用户的接入源IP段、VPN服务分配的虚拟内网IP池完整范围，绝大多数企业的防火墙规则都是基于IP段做批量放行的，要是调整前没有留存虚拟IP池的准确范围，很容易不小心把整个VPN虚拟网段的访问权限全部误删，导致所有已经接入的VPN用户都无法访问内网资源。
现有防火墙规则的全量生效快照
这里要注意不能只截图页面上直接标注了VPN字样的规则，要把所有和VPN流量相关的上下游规则全部导出完整配置文件，包括WAN口入站的VPN协商报文放行规则、内网口转发的虚拟网段访问规则、NAT地址转换模块里针对VPN流量的特殊处理规则。很多新手管理员只关注直接关联VPN的显性规则，漏掉了后面挂载关联动作的隐藏规则，调整完成之后才发现之前给VPN流量单独配置的特殊转发通道直接失效。
还要单独标记出当前所有VPN相关规则的优先级排列顺序，绝大多数防火墙的规则匹配逻辑都是从上到下命中即停，很多人调整前没有记录原有VPN规则的排列位置，随便把新规则插到规则列表的最底部，导致VPN的放行规则被前面的通用拒绝规则覆盖，直接引发大面积的VPN接入故障。
VPN关联业务的访问连通性基准结果
调整规则前要逐个测试所有VPN用户需要访问的业务系统，把正常访问的运行状态、业务依赖的目标端口、业务服务器的固定地址全部逐一记录，比如远程运维人员需要访问的服务器管理端口、外勤员工需要访问的内部办公系统端口，这些信息是调整完规则之后做校验的核心对照依据，如果没有提前记录基准状态，出问题之后你根本无法判断故障是调整防火墙规则引发的，还是业务系统本身的运行故障导致的。
还要单独整理出当前VPN链路下的所有特殊访问白名单，比如部分合作方的固定公网IP允许直接通过VPN通道接入内网，这类临时添加的例外规则很多时候没有同步到正式的配置文档里，调整前没有单独摘出来做标记，很容易在批量清理冗余规则的时候误删，后续合作方对接人反馈无法访问的时候才发现问题。
故障回溯的前置参考信息
要记录当前防火墙的固件版本、VPN服务端的运行版本，很多特殊的规则适配逻辑是和设备版本强相关的，比如部分旧版本的IPsec VPN需要单独放行特定的协议报文，新版本的系统已经做了内置兼容，要是调整前没有记录版本信息，出问题之后找技术支持协助排查的时候，没法快速定位故障根源是规则配置错误还是版本兼容问题。
调整前要单独导出完整的防火墙配置备份包，SakuracatAPP下载存放到和当前防火墙设备不互通的独立存储介质里，不要直接把备份文件存在防火墙本地的存储空间，要是调整规则之后出现完全断连的极端情况，你还能通过本地备份文件快速完成配置回滚，不用专程跑到机房接控制终端恢复配置。
很多运维人员调整VPN防火墙规则的时候总觉得自己能完全记住原有配置，实际上规则条目积累到一定数量之后很容易出现混淆，把VPN与防火墙规则：调整前需要记录什么的清单逐一走完，不是多余的流程，而是把后续可能出现的数小时甚至数天的故障排查成本直接抹除，哪怕是个人用户调整家用路由器的VPN相关防火墙规则，按这个清单提前走完流程，也能避免自己外出之后无法远程接入家里VPN的尴尬问题。
