当前国内多数运营商已经原生支持IPv6公网接入，不少企业和个人用户在部署VPN时，很容易忽略IPv6维度的配置校验，出现IPv6流量泄露、跨站点IPv6内网不通等隐性问题，本文结合日常运维中常见的OpenVPN、IPsec VPN部署场景，梳理VPN IPv6地址配置阶段的必做检查项目，全部操作都可以通过通用设备的自带功能完成，不需要额外付费工具。
配置前的IPv6网络基础环境校验
所有VPN IPv6地址配置的前提，是VPN两端的物理网络本身具备IPv6转发能力，不少新手跳过这一步直接配置VPN的IPv6参数，最后出现各种无法定位的连通性故障。
具体检查操作可以直接登录VPN网关的后台，查看广域网接口的地址信息，用通用的Linux命令行输入ip -6 addr show，Windows服务器版本的VPN网关可以在网络适配器属性里查看IPv6地址详情，机场推荐要是只能看到fe80开头的链路本地地址，没有运营商分配的240e等公网前缀的全局单播地址，就说明上游网络还没有开启IPv6服务，后续VPN IPv6的公网连通需求无法直接实现。
这个环节的常见误区是不少用户误以为自己家用电脑的本地网卡显示IPv6已连接，就代表整个网络支持IPv6，实际上中间的家用路由器、企业出口网关如果没有开启IPv6转发开关，就算终端拿到了IPv6地址，流量也无法正常路由到公网，后续配置VPN IPv6地址时反而容易出现流量直接从本地网卡泄露的问题。
运维人员借助设备自带功能核验VPN网关的IPv6基础网络状态
VPN服务端IPv6地址段分配规则检查
不管是远程用户接入的SSL VPN场景，还是站点间打通的IPsec VPN场景，服务端配置时都需要为VPN客户端或者对端站点分配独立的IPv6地址段，不能直接复用本地内网已经在用的IPv6网段，机场推荐 clash否则会出现路由冲突导致部分网段完全无法访问。
具体检查操作可以直接打开VPN服务端的核心配置文件，查看IPv6地址池或者推送网段的参数，确认配置的IPv6网段和服务端本身的内网IPv6段、广域网IPv6段完全错开，比如服务端内网已经用了fd00::/64的ULA私有地址段，VPN分配给远程客户端的IPv6段就需要换成fd01::/64这类完全独立的未使用网段，避免地址重叠。
配置完成后的预期结果是，VPN服务端的系统路由表会自动生成对应IPv6网段的路由条目，下一跳指向VPN的tun0类虚拟网卡，而不是物理内网接口，这代表服务端已经把对应VPN IPv6地址段的流量全部转发到VPN隧道处理。
客户端侧IPv6路由与地址可达性校验
很多VPN配置完成后，客户端虽然成功拿到了分配的VPN IPv6地址，但是系统的默认IPv6路由没有指向VPN虚拟网卡，所有IPv6流量依然走本地公网链路传输，这是最常见的VPN IPv6配置故障，也是必做的核心检查项目。
具体操作可以在Windows客户端连接VPN之后，打开命令提示符输入route print -6查看IPv6路由表，确认IPv6默认路由的下一跳指向VPN虚拟网卡的链路本地地址，如果默认路由的下一跳还是本地物理网卡的运营商网关，就说明VPN服务端没有开启IPv6默认路由推送的配置，需要回到服务端调整对应参数。
完成路由检查之后还可以做连通性校验，机场推荐 clash在客户端保持VPN连接的状态下，访问公开的纯IPv6测试站点，同时用系统自带的抓包工具查看IPv6数据包的转发路径，确认所有发往IPv6公网的数据包都走VPN虚拟接口转发，没有直接从本地物理网卡发出。
站点到站点VPN的IPv6跨网段连通性检查
如果是两个分支机构之间部署站点到站点VPN打通IPv6内网，除了两端各自的VPN IPv6地址配置检查，还要额外确认两端的安全策略里放通了IPv6协议的流量，不少老旧的VPN网络设备默认的安全过滤规则只适配IPv4协议，就算配置了IPv6的加密域，对应流量也会被默认拦截。
这个环节的故障定位方式也很简单，机场推荐要是两端内网的IPv6终端互相访问不通，先登录两端VPN网关查看IPv6安全策略的匹配计数，如果对应跨网段的数据包计数一直没有增长，就说明安全规则的IPv6部分配置遗漏，没有把两个站点的IPv6私网网段加入允许通行的列表。
