EasyConnect 显示已连接，为什么还是打不开内网系统

左下角绿点亮着，状态栏写着"已连接"。

但浏览器打开内网 OA，转圈；连内网 Git，超时；访问共享目录，找不到。

"连接成功"和"能访问内网"，在这类工具里是两件事。

要搞清楚为什么会这样，得先知道 EasyConnect 在连接建立之后，又做了什么。

它建立的不只是一条隧道

EasyConnect 是深信服（Sangfor）的 SSL VPN 客户端。连接过程大致是：

客户端与企业的 VPN 网关完成身份认证，基于 SSL/TLS 建立一条加密通道。此后发往内网的流量会被封装进这条通道，公网传输的部分是加密的。

到这里是常规 VPN 的思路。

但关键在后面一步：它要在你的系统里造一块"假的"网卡。

虚拟网卡：整套机制的支点

安装后，系统里会多出一个网络适配器，名称为 Sangfor Virtual Network Adapter。

这块网卡没有物理硬件，是驱动模拟出来的。

它的作用，是让操作系统"以为"你直接接入了企业内网。

具体怎么运作：

1. 连接成功后，客户端从网关获取一个内网段的虚拟 IP
2. 系统路由表里会新增条目——目标为内网网段的流量，指向这块虚拟网卡
3. 数据包被送到虚拟网卡后，客户端把它封装进 SSL 报文，经公网发往企业网关
4. 网关解封，转发给真正的内网服务器

结果就是：你的电脑在逻辑上成了内网的一台机器。

为什么通常只"接管"一部分流量

这里有个设计上的取舍。

如果把所有流量都塞进隧道，你上外网也得绕道企业出口——速度慢，还占用企业带宽。

所以默认采用的是分流（Split Tunneling）：

• 企业内网网段：进入 SSL 隧道
• 普通互联网：直接走本地物理网络

靠什么区分？靠路由表。

网关会下发一批内网网段的路由规则，客户端把它们写进系统路由表。命中这些规则的走隧道，其余走本地。

"已连接"只是说隧道建好了，能不能访问内网，取决于这些路由规则有没有正确生效。

这就是问题所在。

三个环节，任一断了都白搭

顺着上面的链条，故障点其实很明确。

环节一：虚拟网卡是否正常

这是最常见的原因。

打开设备管理器，展开「网络适配器」，找 Sangfor Virtual Network Adapter。

• 正常显示：网卡工作正常
• 黄色感叹号，代码 56：Windows 仍认为该设备的类配置未完成
• "网络电缆被拔出"：网卡未正确初始化

驱动与系统的网络配置发生冲突时，就会出现这类状态。

先试最简单的：到「更改适配器设置」里，右键这块网卡 → 禁用 → 等几秒 → 启用。

很多时候这一步就够了。

环节二：路由表有没有下发成功

如果网卡正常，继续看路由。

以管理员身份打开命令提示符：

route print -4

看输出的「接口列表」，找到 Sangfor 那块网卡对应的接口号（形如 9 ... Sangfor Virtual Network Adapter）。

再往下看 IPv4 路由表，确认内网网段（如 10.x.x.x、192.168.x.x）是否有条目，且指向那个接口号。

没有条目 → 网关没下发，或客户端没写入。重连一次试试；仍不行就得找单位的 IT 确认策略。

有条目但不通 → 可能是被抢占了，看下一节。

环节三：跃点优先级的争夺

路由表里同一个目标网段，可能有多条路由指向不同接口。这时系统按跃点数（Metric）决定用哪条——

跃点数越小，优先级越高。

你的电脑上可能同时存在：

• 物理网卡的默认路由
• 虚拟网卡的默认路由
• 其他网络工具（虚拟机、代理软件、网卡桥接）的路由

Windows 默认是"自动跃点"，按接口速度估算。问题在于，物理网卡往往速度更快、跃点数更低——于是本该走隧道的流量，走了本地网卡。

表现就是：明明连上了，内网却打不开。

调整方式有两种。

方式一：改接口优先级（推荐，持久）

控制面板 → 网络和共享中心 → 更改适配器设置 → 右键虚拟网卡 → 属性 → 双击 Internet 协议版本 4 → 高级 → 取消勾选「自动跃点」，手动填一个较小的值（如 10）。

方式二：命令行临时调（快速验证）

route change 10.0.0.0 mask 255.0.0.0 192.168.1.1 metric 10 if 9

参数依次是：目标网段、掩码、网关、新跃点数、接口号。

注意：这条命令改的是运行时路由，重启就失效。适合用来快速验证"是不是优先级的问题"，确认后再用方式一固化。

还有两个容易忽略的点

DNS 解析

内网系统常用内部域名访问，比如 oa.公司域名。

这类域名由内网 DNS 解析，公网 DNS 查不到。

如果客户端没有下发内网 DNS，或者本地 DNS 配置把它覆盖了，就会出现"IP 能通、域名打不开"的现象。

判断方法：直接用内网 IP 访问试试。

• IP 能通、域名不通 → 是 DNS 问题
• 两个都不通 → 回到路由层面排查

安全软件拦截

防火墙和杀毒软件有时会阻止虚拟网卡初始化，或者拦截隧道建立过程。

排查时可以先临时关闭，确认是否相关；确认后把 EasyConnect 加进白名单，而不是长期关闭防护。

卸载之后反而出问题

这是一个容易被忽略的后续影响。

EasyConnect 会安装内核级驱动、注册虚拟网卡、修改系统网络配置。 如果卸载时这些没清理干净，可能留下后遗症：

• 设备管理器里残留带感叹号的虚拟网卡
• 网络适配器列表里出现无法识别的设备
• 严重时影响正常上网

清理顺序如下。

第一步：卸载残留设备

进入设备管理器 → 菜单栏 查看 → 勾选 「显示隐藏的设备」 → 展开「网络适配器」→ 找到所有 Sangfor 相关的项 → 右键 卸载设备 → 勾选「删除此设备的驱动程序软件」。

第二步：重置网络堆栈

以管理员身份运行命令提示符：

netsh winsock reset

netsh int ip reset

ipconfig /flushdns

三条命令依次执行，然后重启。

第三步：残留服务与驱动

如果上面还不行，检查系统服务里有没有 Sangfor 开头的残留项，以及驱动目录 C:\Windows\System32\drivers 下有没有 Sangfor 开头的文件。

这一步涉及系统目录和注册表，操作前务必备份。 不熟悉的话，建议用厂商提供的诊断修复工具，或者重装系统网络组件。

排查顺序总结

显示已连接，但访问不了内网

      ↓

① 设备管理器：虚拟网卡状态是否正常

      ↓ 有感叹号 → 禁用/启用，或重装客户端

② route print -4：内网网段有没有路由条目

      ↓ 没有 → 重连；仍无 → 找 IT 确认策略

③ 有路由但不通 → 检查跃点数是否被物理网卡抢占

      ↓ 调整接口跃点

④ IP 通、域名不通 → 检查内网 DNS

      ↓

⑤ 以上都正常 → 排查安全软件拦截 / 联系 IT

一句实在话

EasyConnect 这类客户端深度介入了系统的网络协议栈——虚拟网卡、路由表、DNS，每一层它都要动。

这带来了便利（一套客户端打通内网），也带来了脆弱的环节（任何一层配置冲突都可能失效）。

所以遇到"连上了但用不了"，别急着重装。按上面三个环节逐个确认——网卡、路由、DNS，多数问题能在前两步定位。

重装能解决的，通常只是"客户端本身损坏"这一种情况；配置层面的冲突，重装一遍还是老样子。