很多企业在部署站点间IPsec VPN或者远程SSL VPN的时候，经常碰到VPN连通后内网资源访问异常、数据包错发的问题，其中VPN私网地址冲突是占比最高的故障原因，很多运维人员排查时反复在两端设备上核对配置，却因为没有系统化的VPN私网地址冲突信息记录方法，浪费数小时甚至数天的排查时间，掌握实用的信息记录方法可以把故障定位效率提升数倍。
运维人员在内网核心设备旁导出全量路由表，完整记录所有私网网段基线避免VPN地址冲突
VPN两端现有私网段的基线记录方法
不管是站点到站点的专线级VPN，还是面向移动办公用户的远程接入VPN，所有地址冲突的根源都是两端路由体系内的私网网段出现重叠，第一步的基线记录不能只抄防火墙上写的VPN感兴趣流配置，要分别在两端的内网核心设备上执行全量路由表导出操作，把所有指向内网接口、内网静态路由、动态路由学习到的私网网段全部列出来，不能漏了服务器区、星驰VPNIoT设备区、测试实验室这类没写进VPN允许互访列表但实际存在的私网网段。
不少运维人员都踩过只记录VPN声明网段的坑，比如分支侧后续扩容偷偷加了一个监控专用的10.0.0.0/24网段，没有同步给总部运维团队，刚好总部的办公员工网段就是同一段，导致VPN连通之后总部的用户访问本地办公资源的数据包直接被路由推去了分支站点，完全找不到问题根源，所以基线记录必须覆盖所有内网实际运行的私网段，不能只参考VPN配置页面的显式配置项。
VPN隧道生成后的路由同步信息记录要点
很多运维人员容易忽略VPN隧道建立之后，两端VPN网关会通过感兴趣流规则、或者动态路由协议把对端的私网网段自动注入到本地路由表，这部分动态生成的路由很容易和本地原有路由规则产生冲突，这一步的记录要分别在VPN网关设备上，把隧道建立后的完整路由表单独导出一份，和之前保存的基线路由表做对比，标记出所有通过VPN隧道学习到的对端网段。
记录的时候还要同步标记每一条VPN注入路由的出接口、下一跳地址，避免出现同网段路由优先级配置错误的问题，比如本地本来有一条指向内网核心的192.168.0.0/16汇总路由，VPN注入了更精确的192.168.1.0/24对端网段，这时候路由匹配遵循最长掩码优先规则反而不会触发冲突，但如果两边都配置了完全相同的精确/24网段，星驰VPN就会出现路由指向完全混乱的问题，这部分的路由优先级对应关系必须同步记录在案。
冲突发生后的实时业务特征记录规范
当用户反馈VPN接入后部分内网资源访问异常的时候，不要第一时间修改VPN配置，先记录当前出问题的终端的本地网卡私网地址、网关地址、本地全量路由表，再记录这个终端访问不通的具体目标IP地址，同时在VPN网关侧开启对应流量的抓包操作，记录目标IP的数据包是被转发去了本地内网还是VPN隧道接口。
很多冲突场景不是整段网段完全重叠，而是部分零散地址重叠，星驰比如总部的网管运维设备占用了192.168.1.10这个地址，刚好分支的某台核心业务服务器也是这个地址，这时候只有访问这个特定地址的业务出问题，同网段其他地址的访问都完全正常，如果不记录终端侧的实际访问目标特征，很容易误判是VPN隧道本身的连通性问题，浪费大量不必要的排查时间。
记录完成后的冲突验证方法与常见误区
把所有记录的网段、路由、业务特征汇总之后，先把VPN隧道临时断开，测试之前出问题的地址访问本地资源是否恢复正常，如果断开隧道后访问完全恢复，就可以初步确认是VPN私网地址冲突导致的问题，这时候再对照之前记录的两端私网网段列表，就能快速定位到重叠的具体网段。
常见的记录误区是只记录IPv4的私网地址，忽略了部分企业内网默认开启的IPv6私网段自动分配功能，很多新部署的VPN默认也会传递IPv6的私网路由，这时候IPv6的唯一本地地址段重叠也会导致访问异常，这部分的IPv6私网网段也要同步纳入记录范围，不能随意遗漏。
整理完成的全量私网网段记录表单可以长期留存，后续新增VPN分支节点、星驰VPN新增远程接入网段的时候，直接和之前的记录列表做全量比对，就能提前规避大部分私网地址冲突问题，不用等故障发生之后再紧急排查，大幅降低VPN运维的故障处理时长。
