本指南帮助 管理员 排查常见一键 VPN 服务器问题，并协助 终端用户 排查常见一键 VPN 连接问题。

管理员端的 VPN 服务器问题排查

重要提示：VPN 应始终使用专属的局域网私有地址，以避免路由冲突、NAT 问题和安全风险。私有 IP 范围包括：

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
  1. 问题 1：VPN 已连接但无法访问互联网
    步骤 1：确认控制台 WAN IP 是否为公网 IP
    - 请确保 UniFi 控制台的 WAN IP 不在 CGNAT IP 范围（100.64.0.0 到 100.127.255.255）内。
    - 查看 WAN IP，路径为 Site Manager > UniFi 控制台 > 网络 > 设置 > 控制面 > 控制台 > 控制 > 关于本控制台。

    步骤 2：如 WAN IP 为私网，请进行端口转发
    - 如 WAN IP 属于私网，请在上行路由器中配置端口转发。路径为 Site Manager > UniFi 控制台 > 网络 > 设置 > 路由 > 端口转发。
    - 如控制台的公网 IP 存在多级路由，需进行多级端口转发。

    步骤 3：双 WAN 环境下确保正确绑定 IP
    - TCP 可确保双 WAN 环境下的回程路径一致。当客户端通过 WAN 2 连接时，服务器会通过相同接口（WAN 2）回复，保证连接路径一致。
    - 确保端口转发目标为 Site Manager > UniFi 控制台 > 网络 > 设置 > 策略引擎 > 端口转发中的默认 WAN 接口。

    如果您的环境需要 VPN，请注意 UID Enterprise 的 WireGuard VPN 不支持 WAN 故障转移。若需故障转移，建议选用 OpenVPN（TCP），以更可靠支持多 WAN 场景。

  1. 问题 2：本地 DNS 无法通过一键 VPN 解析

    如您使用 UniFi 控制台作为 DNS 服务器，请确保已正确配置。


    步骤 1：更新至最新 UniFi OS 以解决已知 DNS 问题

    - 路径：Site Manager > UniFi 控制台 > 网络 > 设置 > 控制面 > 更新 > UniFi OS。


    步骤 2：将 UniFi 控制台 LAN IP 配置为 DNS 服务器
    1. 路径：Site Manager > UniFi 控制台 > 网络 > 设置 > VPN > VPN 服务器 > 身份 VPN > 高级 > 手动 > DNS 服务器。
    2. 取消勾选 自动 选项，手动输入控制台的 LAN IP 作为 DNS 服务器。
  1. 问题 3：终端用户 macOS 设备无法加载系统扩展
    步骤 1：检查设备是否加入 Identity MDM

    如终端用户在 UniFi Endpoint for macOS 上收到 请点击系统偏好设置并允许 Identity 加载新系统扩展 提示，但点击后无弹窗，请先检查设备是否已加入 MDM。


    步骤 2：确认系统扩展的 MDM 配置策略

    如已下发 System Extensions 的 MDM 策略，终端用户无法自行批准系统扩展，除非配置文件明确允许。更多详情，参阅 Apple 帮助文档。

    解决方法：请让 MDM 供应商配置如下内容：

    - 团队标识符：4P645293E8
    - Bundle 标识符：com.ui.uid.standard-desktop.network-extension

如上述操作后问题仍未解决，请将控制台的支持文件发送至 uid.support@ui.com 获取进一步帮助。

  • 下载支持文件路径：Site Manager > UniFi 控制台 > 网络 > 设置 > 控制面 > 控制台 > 支持文件 > 全部 > 下载。

终端用户 VPN 连接问题排查

  1. 问题 1：UniFi Endpoint 无法建立 VPN 连接

    步骤 1：检查设备网络连接

    确保您的设备已联网：

    • 可尝试打开网页（如：https://www.ui.com）。
    • 或者 ping 8.8.8.8 测试连通性。
      操作方法任选其一：
      • 对于 Windows：按 Windows + R，输入 cmd 并回车。
      • 对于 macOS：按 Cmd + 空格，输入 Terminal 并回车。
      执行命令： 
      ping 8.8.8.8

    步骤 2：检查本机设置

    • 升级 UniFi Endpoint 至最新版。
    • 退出并重新登入 UniFi Endpoint。
    • 重启运行 UniFi Endpoint 的设备。
    • 再次尝试一键 VPN 连接。

    步骤 3：尝试更换网络环境

    部分网络可能屏蔽 VPN 流量。请切换至其它网络（如从 Wi-Fi 换为移动热点）后再次尝试 VPN 连接。


    步骤 4：禁用设备上的代理

    Windows 10 和 11

    1. 前往 设置 > 网络与 Internet > 代理 > 手动代理设置，将“使用代理服务器”设为关闭。
    2. 确保“自动检测设置”开启。
    3. 再次尝试连接 VPN。

    macOS（Ventura/Sonoma）

    1. 前往 系统设置 > 网络 > 选择当前使用的网络（如 Wi-Fi） > 详情 > 代理，关闭所有代理选项。
    2. 点击 好，然后 应用。
    3. 再次尝试连接 VPN。

    步骤 5：恢复本机 DNS 设置为默认

    Windows 10 和 11

    1. 前往 控制面板 > 网络和共享中心 > 更改适配器设置 > 右键当前网络 > 属性。
    2. 选择 Internet 协议版本 4 (TCP/IPv4) > 属性：
      • 选择自动获取 IP 地址
      • 选择自动获取 DNS 服务器地址
    3. 点击 确定。
    4. 再次尝试连接 VPN。

    macOS（Ventura/Sonoma）

    1. 前往 系统设置 > 网络 > 选择当前使用的网络（如 Wi-Fi） > 详情 > DNS。
    2. 删除自定义 DNS（如 8.8.8.8 或 1.1.1.1），点击 减号 (-) 删除。
    3. 点击 好，然后 应用。
    4. 再次尝试连接 VPN。

    步骤 6：检查防火墙设置

    Windows 10 和 11

    1. 前往 设置 > 隐私和安全 > Windows 安全中心 > 防火墙和网络保护，选择当前网络（如专用网络）。
    2. 临时关闭 Microsoft Defender 防火墙，以防防火墙规则阻止 VPN 连接。
    3. 再次尝试连接 VPN。
  1. 问题 2：macOS 设备提示“UniFi Endpoint 想要添加 VPN 配置”
    1. 点击 允许 以授权 UniFi Endpoint 添加 VPN 配置。
    2. 启用后，VPN 连接期间设备的所有网络活动将被过滤和监控。

    1.png

  1. 问题 3：macOS 设备提示“系统扩展被阻止”

    macOS 15 Sequoia

    1. 点击“打开系统设置” > 常规 > 登录项与扩展
    2. 点击 网络扩展 旁的信息图标（i）
    3. 打开 UniFi Endpoint 选项以启用扩展
    4. 点击 完成

    macOS 13 Ventura 与 macOS 14

    1. 点击“打开系统设置” > 隐私与安全
    2. 点击 允许 以解除 来自应用 UniFi Endpoint 的系统软件被阻止加载 的提示
    3. 使用 Touch ID 或密码验证身份，并点击 解锁

    macOS 12 Monterey 及以下

    1. 点击“打开系统偏好设置” > 隐私与安全
    2. 点击左下角锁型图标
    3. 使用 Touch ID 或密码验证身份，并点击 解锁
    4. 点击 允许 以解决 来自应用 UniFi Endpoint 的系统软件被阻止加载 的提示
  1. 问题 4：UID Enterprise macOS 应用提示“请点击系统偏好设置并允许加载新系统扩展”

    如 UID Enterprise macOS 应用内出现“请点击系统偏好设置并允许 UID Enterprise 加载新系统扩展”，但点击后无弹窗，请检查设备是否加入 MDM，并确认管理员是否下发了 System Extensions 策略，限制了用户批准额外系统扩展。具体请参考 Apple 帮助文档。

    如下发了相关 MDM 配置，管理员可将如下内容添加至 MDM 配置中：

    • 团队标识符：4P645293E8
    • Bundle 标识符：com.ui.uid.standard-desktop.network-extension

如仍无法解决，请联系管理员或通过 UniFi Endpoint 提交反馈。

  • UniFi Endpoint 桌面端：点击齿轮图标 > 提交反馈
  • UID Enterprise 移动端：点击齿轮图标 > 支持与反馈 > 反馈

常见问题

  1. 能否在 WAN 1 和 WAN 2 之间选择一键 VPN 绑定？
    不能。一键 VPN 仅支持主 WAN 通道。如主 WAN 为 WAN 1，即使在 Site Manager > UniFi 控制台 > 设置 > VPN > VPN 服务器 > 一键 VPN > 服务器地址手动切为 WAN 2，仍只会绑定至 WAN 1。