很多企业运维在调整站点间IPsec VPN、SSL VPN的NAT会话超时规则，或者修改端口映射、源NAT策略前，经常遇到调整后VPN隧道断连、内网业务访问异常、原有会话直接被清空导致大量用户断连的问题，提前把所有关联的关键配置信息记录完整，是避免调整后故障回溯、快速回滚的核心前提，这份清单完全基于主流企业级防火墙、VPN网关的实际运维场景梳理，所有记录项都可以直接在设备Web控制台或者命令行下验证获取。
VPN隧道关联的基础NAT绑定配置记录
首先要登录VPN网关的配置后台，找到所有和VPN隧道绑定的NAT规则条目，小火箭不能只看全局NAT配置。比如常见的站点间IPsec VPN场景里，很多运维会配置“禁止VPN流量走源NAT”的豁免规则，调整前要把这条规则的源地址段、目的地址段、出接口、动作四个核心字段完整截图或者导出文本记录，还要确认这条规则的优先级排序，避免调整后普通外网流量的NAT规则覆盖VPN豁免规则。
运维人员调整VPN与NAT会话配置前核查记录关键参数
接下来要记录VPN隧道两端的NAT穿越开关状态，包括UDP 4500端口的放行状态，还有两端网关的公网口是否配置了动态PAT转换。如果其中一端的VPN网关本身处于上层NAT设备之后，还要记录它获取的内网私网地址、映射到公网的端口范围，这些信息如果调整前没记，调整后隧道协商的时候会直接出现ID不匹配的问题，很难快速定位原因。
现有NAT会话表的关联VPN条目记录
登录网关的命令行或者Web控制台的会话统计页面，筛选出所有源或者目的地址属于VPN内网段的活跃NAT会话条目，至少要记录当前的总会话数、不同业务对应的会话老化超时时间配置。比如走SSL VPN的远程办公用户的HTTP业务会话、视频会议的长连接会话，默认的超时时间和普通外网流量的超时时间是不一样的，调整前要把不同类型VPN流量对应的会话超时阈值单独记录。
还要单独记录已经建立的VPN会话对应的五元组特征，比如哪些内网服务器的端口映射规则是专门给VPN对端用户开放的，这些映射规则对应的当前活跃连接数，shadowrocket避免调整NAT会话表的时候直接清空这些长连接，导致正在传输的大文件、正在进行的视频会议直接中断。
关联安全策略与路由配置的交叉校验记录
调整前要把所有匹配VPN流量、NAT流量的安全策略条目完整导出记录，重点标记出动作是允许、且同时关联了VPN区域和NAT之后外网区域的策略，确认这些策略的匹配顺序，很多运维调整NAT之后忘记调整安全策略的优先级，导致VPN流量直接被拦截。
还要记录VPN网关指向对端VPN内网段的静态路由、动态路由的下一跳地址和出接口，小火箭同时记录NAT地址池对应的反向路由配置，避免调整NAT会话之后，路由下一跳出现环路，导致VPN流量来回转发无法正常建立会话。如果网关配置了VPN流量专用的策略路由，也要把策略路由的匹配规则、下一跳参数完整记录，避免调整NAT规则后策略路由失效，VPN流量被转发到错误的出接口。
调整前的基线状态验证记录
所有配置信息记录完成之后，要先做一次调整前的连通性基线验证，从VPN对端的内网主机ping本端的内网服务器，同时从本端内网主机访问VPN对端的共享资源，把当前的连通状态、丢包情况、访问延迟的实际状态记录下来，作为调整后对比的基准。
还要记录当前VPN隧道的协商状态，比如IKE SA的剩余存活时间、IPsec SA的加密算法，确认调整前所有隧道都是处于正常活跃的状态，避免把调整前就已经存在的隐性故障，误判为调整NAT会话导致的新故障，给后续故障排查增加不必要的干扰。
所有记录的信息最好同时做本地文本备份和离线截图备份，不要只存在当前运维的操作终端里，调整完成之后如果出现异常，可以第一时间对照记录的配置逐项回滚，不需要临时翻找历史配置文档，大幅降低故障恢复的耗时。整个记录过程不需要修改任何运行中的配置，不会对当前在线的VPN用户和NAT业务产生任何影响，是调整VPN与NAT会话前成本极低但收益极高的必要操作。
