不少运维人员在调整VPN与防火墙规则时，经常遇到调整后远程办公用户集体断连、分支站点VPN隧道异常断开、核心业务系统访问权限错乱的问题，多数故障的根源都不是调整的新规则本身出错，加速器免费而是调整前没有留存足够的基线参照信息，出问题后没法快速定位差异点回滚。这份清单就围绕VPN与防火墙规则：调整前需要记录什么的核心问题，用故障排查的视角梳理所有必须留底的关键事项，尽可能降低调整操作的业务影响。
运维人员在调整VPN与防火墙规则前，核验留存全量隧道连通基线数据
当前生效的VPN隧道全量连通基线
调整操作启动前，首先要从VPN网关的后台导出所有活跃隧道的运行数据，包括所有已建立站点到站点VPN的对端公网IP、协商使用的加密套件、绑定的预共享密钥或设备证书标识，以及每条隧道两端允许互访的内网网段明细，同时还要导出所有SSL VPN在线客户端的用户账号、分配的内网IP、当前接入的公网地址。
导出基础数据后还要做一次实际连通性校验，随机选取不同部门的VPN用户、不同分支站点的终端，尝试访问各自权限内的核心业务服务器，记录当前的连通状态，预期结果是所有预设允许的访问路径都能正常连通，没有额外的拦截提示。很多人容易陷入的误区是只看VPN设备的在线用户数就认为状态正常，忽略实际业务的连通校验，调整规则后就算隧道显示在线，业务访问异常也找不到之前的正常状态做参照。
防火墙现有关联VPN的放行规则明细
接下来要单独筛选出防火墙所有和VPN服务、VPN网段相关的规则，不要直接导出全量规则列表，要单独标注出哪些规则是专门给IPsec VPN协商端口放通的、哪些是给SSL VPN的外网接入端口放通的、哪些是允许VPN地址池网段访问内网资源的，同时记录每条关联规则的源目地址、端口、执行动作、规则优先级。
还要单独记录VPN服务对应的所有NAT映射策略和回程路由配置，很多调整操作容易误删VPN服务端口的端口映射，导致外部用户完全拨不上VPN，也容易误删VPN内网网段的回程路由，导致VPN用户的访问请求没法回到VPN网关。校验这部分记录的预期结果是，整理出的关联规则和路由条目，和当前实际生效的流量转发路径完全对应，不存在规则列表里有但被更高优先级规则覆盖的无效条目。
当前VPN用户的权限映射配置快照
多数企业的VPN不会给所有用户开放完全相同的内网权限，不同部门的用户拨入VPN之后能访问的业务系统范围有明确边界，调整防火墙规则前要把当前所有用户组对应的访问权限、绑定的IP地址池范围全部记录下来，加速器免费避免调整后出现普通员工能访问财务服务器的越权问题，或者运维人员反而没法远程登录核心网络设备的反向异常。
还要记录当前VPN地址池的网段范围和剩余可用IP数量，调整防火墙规则的时候如果不小心限制了地址池的整段网段，会导致后续新发起VPN连接的用户完全拿不到内网IP地址，梯子没法正常拨入。核对这部分记录的时候要确认VPN地址池网段已经在防火墙的放通列表里，没有和其他内网业务网段冲突，避免调整后出现路由黑洞。
故障回滚的前置参照信息
调整操作执行前，要先手动触发一次VPN网关和防火墙的全量配置备份，梯子记录当前两台设备的配置文件版本号、最近一次正常运行的备份时间点，把备份文件单独存放到不需要通过当前VPN访问的本地运维终端或者离线存储介质里，避免调整之后VPN完全断连，连之前的备份文件都没法从内网服务器下载。
还要提前确认两台网络设备的带外管理方式可用，记录防火墙的Console物理接入参数、VPN设备的独立带外管理IP，一旦调整规则之后所有远程管理通道完全中断，不需要赶赴现场也能通过带外管理通道快速登录设备回滚配置。不少运维的常见误区是调整前完全依赖VPN远程管理设备，调整出错之后自己都登不上设备后台，只能到现场处理，大幅拉长故障恢复时间。
所有记录完成后，不要只把这些信息存放在需要通过VPN访问的内网云盘里，最好同时导出一份离线副本存放到本地U盘，必要时可以打印关键规则的纸质清单，万一调整后所有网络通道都中断，也能对照纸质记录排查差异点，最大程度降低调整操作的故障影响。
