很多企业部署IPsec站点间VPN、SSL远程访问VPN的过程中，梯子软件经常遇到两端内网资源无法互访、远程用户拨入后部分业务访问异常的问题，排查链路丢包、端口放行都找不到原因，最终定位往往是VPN私网地址冲突引发的转发异常。这份VPN私网地址冲突排查必备配置检查项目全清单，覆盖了从网关配置到终端侧的所有必查维度，能帮运维人员快速缩小故障范围，避免无意义的逐段测试。
两端VPN网关本地私网路由段校验
这个检查项针对站点间VPN的典型场景，比如总部用企业级防火墙作为VPN网关，分支用同品牌或第三方VPN设备对接，很多运维人员配置感兴趣流的时候只手动填写当前在用的业务网段，忽略了网关路由表里遗留的旧网段。比如总部实际在用内网段是172.16.1.0/24，但路由表里还留着三年前旧办公区的192.168.1.0/24条目，刚好分支当前的内网段就是192.168.1.0/24，就会触发隐性的地址冲突。
实际检查时不要只查看VPN配置页面里手动填写的感兴趣流网段，要分别登录两端VPN网关，导出本地直连路由、静态路由、动态路由里所有指向内网物理接口、VLANIF接口的私网网段，把所有条目汇总后再做比对。
这个环节的常见误区是很多运维只比对掩码完全一致的网段，实际上只要两个网段的地址范围存在重叠，哪怕是大段子网包含小段子网，都属于VPN私网地址冲突的触发条件，会导致加密转发模块不知道该把数据包送往本地内网还是VPN隧道对端。
运维人员逐一校验VPN网关路由段，排查私网地址冲突隐患
VPN客户端虚拟地址池与终端本地内网段校验
这个检查项针对SSL远程访问VPN的场景，很多远程办公用户拨入VPN之后，出现既打不开公司内网资源，也访问不了本地局域网内的打印机、存储设备的问题，排除终端防火墙拦截因素后，大概率是VPN网关分配给客户端的虚拟地址池，和用户终端本地的家用或办公私网段重叠。
检查时先登录VPN网关的SSL服务配置页面，导出所有在用的客户端虚拟IP地址池的网段范围，再引导出现故障的远程用户在本地终端执行ipconfig（Windows）或ifconfig（macOS/Linux）命令，列出终端所有网卡绑定的私网网段，将两类网段做全量比对即可快速定位冲突点。
NAT策略的私网豁免规则校验
很多运维人员容易忽略这类隐性冲突场景：VPN两端的实际私网网段完全不重叠，但本端需要走VPN隧道的私网地址，没有被加入源NAT的豁免排除列表，数据包在进入VPN隧道之前就被转换成了网关的公网出接口地址，免费梯子推荐和对端网关的NAT规则发生逻辑冲突，表现出的故障特征和真实私网地址冲突几乎完全一致。
检查时逐条核对VPN网关下所有动作是源NAT的策略条目，确认所有需要通过VPN隧道访问对端的本地私网段，都不在普通上网NAT的匹配范围内，同时还要检查是否存在反向的目的NAT规则，把对端VPN传入的私网地址映射成本地同网段地址，引发转发逻辑混乱。
验证时可以调用VPN网关的内置抓包工具，在VPN隧道的出接口位置抓取加密前的原始数据包，确认数据包的源IP还是原始的终端私网地址，没有被提前转换。
动态路由引入的冲突网段排查
不少中大型企业会开启VPN网关的动态路由自动同步功能，把内网OSPF、ISIS等动态路由协议学习到的私网段，自动同步生成VPN感兴趣流规则，减少手动配置工作量，但绝大多数厂商的VPN网关默认没有开启私网段冲突自动告警，梯子软件内网测试部门临时搭建的未备案测试网段，很可能直接和VPN对端的私网段重叠，运维人员完全无法通过手动配置记录排查到。
检查时需要在VPN网关的全局路由表中，过滤所有协议类型为动态路由的私网段条目，把这类自动生成的网段也纳入两端网段比对的范围，避免漏掉动态引入的冲突网段。
