VPN私网地址冲突是远程接入、站点到站点VPN部署中最高发的隐性故障之一，很多时候不会直接提示连接失败，只会出现部分内网资源无法访问、跨网业务丢包、路由环路等诡异现象，很多运维人员排查时容易跳过底层地址配置校验，浪费大量排障时间。本文汇总了经过大量实际场景验证的必备配置检查项目，覆盖从接入端到网关侧的全链路校验点，帮你快速定位冲突根源。
运维人员交叉比对两端VPN网关私网网段，排查地址重叠冲突
第一类：两端VPN网关的本地私网路由域校验
首先要排查的是VPN隧道两端网关自身的直连私网网段配置，很多站点到站点VPN部署场景中，两端管理员各自规划内网地址时没有同步网段表，很容易出现本地LAN段完全重合的情况。
检查时需要分别登录两端VPN网关的配置后台，找到私网保护策略、感兴趣流也就是触发VPN加密的流量匹配规则的配置项，把两端所有被纳入VPN加密范围的私网网段全部导出做交叉比对。
预期结果是两端的所有加密私网网段完全没有重叠，任意一个网段的地址范围都不会覆盖另一端的任意内网地址，如果出现重叠就属于典型的预配置冲突，直接修改其中一端的内网网段或者NAT映射网段就能解决。
很多新手运维的常见误区是只看主内网段，忽略了网关下挂的VLAN、服务器专属子网、IoT设备子网这些小众网段，这些网段哪怕只有一小段重合，也会导致对应网段的业务完全不通。
第二类：VPN客户端虚拟地址池与本地网络校验
针对远程用户接入的SSL VPN、IPsec VPN远程接入场景，很多冲突出在用户本地居家/办公网络的私网网段，和VPN网关分配给客户端的虚拟地址池网段重合。
检查时首先导出VPN设备上配置的所有客户端虚拟地址池的网段范围，再引导出现故障的用户分别查看自己本地电脑的有线网卡、无线网卡的私网地址和子网掩码，把本地生成的路由表全部导出比对。
预期结果是客户端本地所有网卡对应的私网网段，梯子加速器和VPN下发的虚拟地址池网段没有任何重叠，同时虚拟地址池本身也不能和VPN网关侧的所有内网业务网段重叠。
这里很容易被忽略的点是用户本地开启的随身WiFi、虚拟机虚拟网卡、Docker虚拟网桥生成的隐藏私网网段，这些网段用户自己可能都不知道存在，却刚好和VPN地址池冲突，导致隧道建立成功后流量被本地路由劫持，完全无法访问内网。
第三类：跨VPN实例的地址复用冲突校验
很多中大型企业会在同一台VPN网关上部署多个VPN实例，给不同部门、不同合作方做独立的加密隧道隔离，不少运维人员为了图省事，会在不同VPN实例里复用相同的私网网段，一旦配置失误就会出现跨实例的地址泄露冲突。
检查时需要登录VPN网关的VRF也就是虚拟路由转发配置界面，逐个查看每个VPN实例下绑定的私网网段、导入导出的路由规则，梯子加速器确认不同VPN实例的路由泄漏配置没有开启全量导入的错误规则。
预期结果是不同VPN实例之间如果没有明确的互访需求，就不会出现重叠网段的路由互相注入的情况，所有相同网段的私网地址都被严格限制在所属的VPN实例内部转发。
这类冲突的现象非常隐蔽，VPN加速器通常只有特定几个用户或者特定合作方的隧道会出现异常，不会影响全局VPN业务，很容易被当成偶发网络故障忽略。
第四类：NAT映射规则的隐性冲突校验
还有一类很难排查的VPN私网地址冲突，出在VPN网关的NAT转换规则上，很多场景下为了适配两端重叠的内网段，运维会配置VPN场景下的双向NAT做地址映射，一旦映射后的网段和现有网络的其他私网段重合，就会引发新的冲突。
检查时需要把VPN相关的源NAT、目的NAT、双向静态NAT的所有转换后地址段全部列出来，VPN加速器和全链路所有已经在用的私网网段做统一比对，不能漏掉任何一个转换后的子网范围。
预期结果是所有经过NAT映射后的VPN流量使用的中间地址段，不会和隧道两端的真实私网网段、公网侧的服务地址段出现任何重叠。
完成以上所有VPN私网地址冲突配置检查项目之后，基本可以覆盖绝大多数常见的同类故障场景，如果排查完所有项目依然存在异常，再进一步排查运营商侧的线路私网穿透规则、中间防火墙的地址转换配置即可。
