很多企业搭建IPsec站点互联、SSL远程接入VPN的时候，经常遇到隧道拨号成功但完全访问不了内网资源，甚至本地家用的局域网打印机、NAS存储也同步断连的情况，这类故障里绝大多数都和VPN私网地址冲突相关。不少运维人员排查的时候习惯先重启网关、换拨号账号，反而漏掉了核心的配置校验环节，拉长了故障定位时长。本文把全流程的VPN私网地址冲突配置检查项目做了完整汇总，覆盖从终端侧到两端网关侧的所有核心校验点，帮大家快速定位这类问题。
第一类检查：VPN客户端本地路由表预校验
很多人排查故障上来就修改VPN网关配置，其实最先要核查的是终端本地的私网段和VPN服务端推送的私网段有没有重叠。Windows终端可以用系统自带的route print命令导出全量路由表，macOS和Linux终端可以用netstat -rn指令查看所有已生效的路由条目，先把本地已经存在的所有10/8、172.16/12、192.168/16类私网段全部梳理出来。
这类场景里最常见的情况是用户本地家用路由器默认分配的网段，刚好和公司VPN推送的办公网段都是192.168.1.0/24，VPN拨号成功之后系统路由会出现优先级冲突，要么本地所有流量都往VPN隧道转发导致家庭局域网断网，要么VPN业务流量往本地物理网卡转发导致连不上公司资源。检查的时候要把本地所有私网段和VPN服务端配置的推送网段做逐行比对，只要有前缀重叠就属于冲突范畴。
第二类检查：VPN网关两端感兴趣流配置对齐校验
针对站点到站点的IPsec VPN场景，很多运维配置两端感兴趣流的时候，只填写了自身站点的核心业务网段，漏了边缘分支的监控、门禁类小众网段。比如总部侧感兴趣流汇总写的是192.168.0.0/16，分支侧本地刚好有个192.168.3.0/24的办公VLAN，老王加速器刚好落在总部汇总的大段范围内，这时候VPN隧道虽然能正常建立，但是两边互访的时候会出现路由环路，表现为业务访问时断时续。
运维人员正在终端侧核查本地路由表，完成VPN私网地址冲突排查的首步校验
校验的时候要分别登录两端VPN网关的配置后台，把本端需要加密的私网段、对端允许接入的私网段全部导出做交叉比对，不能有任何一段的前缀范围覆盖到对端本地的直连私网段。不少运维图省事用大段汇总所有业务网段，反而很容易和对端之前没登记的隐藏VLAN、物联网设备网段产生冲突，这类隐性冲突靠简单ping测试根本发现不了。
第三类检查：VPN隧道接口与内网接口地址段隔离校验
很多中小团队使用的一体化VPN网关，免费梯子本身的LAN口管理地址、内网DHCP分配的地址段，有时候会不小心和SSL VPN客户端虚拟地址池的段重叠，比如网关LAN口默认配置是192.168.0.0/24，SSL VPN的客户端地址池也误配成了同一个段，这时候远程用户拨入之后拿到的虚拟地址和内网终端地址撞段，直接导致内网三层转发完全错乱。
检查的时候要分别导出VPN网关的所有三层接口地址、虚拟地址池的配置参数，包括IPsec VPN的隧道虚拟接口地址段、SSL VPN的客户端动态地址池、L2TP的虚接口分配段，所有这些段都不能和网关下挂的任何物理内网接口的直连网段有重叠。不少运维之前只核查业务对接网段，漏掉了地址池本身和网关内网段的冲突，往往排查好几天都定位不到根因。
第四类检查：NAT策略的冲突豁免规则校验
很多VPN场景下配置了私网地址转换策略，比如总部做了VPN接入用户的源NAT，把远程拨入的用户地址转换成网关内网段的地址，要是这个转换后的地址段刚好和某个分支的私网段重叠，就会出现分支用户访问总部资源的时候，回包找不到正确的路由路径，表现为TCP握手一直失败。
校验的时候要把VPN相关的所有NAT豁免规则、源NAT转换后的地址段全部列出来，确认所有需要走VPN隧道的私网流量，都没有被错误的NAT规则转换成和对端私网冲突的地址，同时还要确认两端都没有漏配VPN流量的NAT豁免，不然原本的私网地址被转换成公网地址之后，也会出现看似地址冲突的转发异常。
做完以上所有VPN私网地址冲突配置检查项目之后，还要做端到端的连通性验证，分别从VPN客户端ping对端内网的网关地址、业务服务器地址，同时测试本地原本的私网服务比如共享打印机、局域网存储的访问是否正常，要是调整完冲突网段之后两边访问都恢复，就说明之前定位的冲突点是准确的。日常运维的时候建议把所有VPN涉及的私网网段统一做台账管理，新增网段的时候先做全局比对，就能从根源上避免这类冲突问题。
