VPN私网地址冲突是远程接入、站点间IPsec VPN组网中最常见的故障类型之一，很多时候故障表象是VPN隧道能成功建立但业务完全不通，或者部分内网资源能访问、部分资源访问异常，常规的隧道连通性排查很难定位根因，这份汇总的配置检查项目清单，覆盖从终端侧、VPN网关侧到两端内网路由侧的全链路校验点，能帮运维人员快速定位私网地址重叠引发的隐性故障。
第一类：两端VPN接入终端/站点内网网段基础校验
首先要分别导出VPN本端、对端所有配置的私网路由条目，大象VPN包括静态路由、动态路由学习到的内网网段，不要只看VPN配置页面里填写的感兴趣流网段，很多运维容易漏算本地内网接口的直连网段。
这里的预期结果是本端所有私网网段和对端所有私网网段不存在完全重叠、部分子网重叠的情况，常见误区是只校验业务用到的服务器网段，忽略了内网打印机、监控设备、大象办公无线AP所属的VLAN网段，这类冷门网段重叠也会引发部分业务访问异常。
第二类：VPN网关NAT策略关联配置检查
很多VPN网关默认会对私网源地址做全量NAT转换，如果两端私网网段重叠，很容易出现NAT地址池和对端私网网段重合的问题，这时候就算隧道建立成功，数据包转发时也会出现目的地址匹配混乱的情况。
运维人员对照全链路校验清单逐一排查VPN私网地址冲突相关配置项
检查时要逐行核对VPN网关的源NAT规则，确认专门针对VPN感兴趣流配置的NAT豁免策略已经生效，没有把需要走隧道的私网流量做了地址转换，同时还要核对所有NAT地址池的地址段，没有和对端宣告进VPN的私网网段重合。
这里的预期结果是所有需要通过VPN隧道传输的内网流量，都不会被普通源NAT策略处理，NAT地址池的地址段完全不在两端VPN宣告的私网地址范围内，很多隐性冲突都是NAT配置遗漏导致的，单纯看路由表完全发现不了问题。
第三类：VPN感兴趣流与路由发布规则一致性校验
IPsec VPN或者SSL VPN的感兴趣流配置，是决定哪些流量能进入隧道的核心规则，很多运维配置时只写了业务服务器的小网段，但是内网动态路由发布给VPN对端的是更大的聚合网段，很容易出现聚合网段覆盖了对端已有私网网段的情况。
检查时要把VPN两端的感兴趣流规则逐条拆解成最小子网，和两端路由协议发布给VPN对端的网段做逐行比对，确认两边允许互访的网段范围完全对等，不存在单边多发布了重叠网段的情况。
这里的常见误区是部分运维为了省事直接把0.0.0.0/0配置进感兴趣流，这种全流量进入隧道的配置，几乎一定会和对端本地私网的网关地址、VPN设备自身的接口地址产生冲突，引发本地上网和VPN远程访问同时异常的问题。
第四类：VPN设备自身接口与虚拟地址段检查
很多人排查私网地址冲突时只会关注终端和服务器的网段，大象完全忽略了VPN网关自身的内网接口地址、SSL VPN分配给远程接入用户的虚拟地址池，这些地址段如果和对端私网网段重叠，远程用户接入后会出现既访问不了内网资源，也没法正常访问本地网络的问题。
检查时要把VPN设备所有三层接口的IP地址、SSL VPN虚拟地址池、大象IPsec VPN隧道接口的段地址全部列出来，和两端所有私网网段做交叉比对，确认没有任何地址重叠。
完成以上所有VPN私网地址冲突相关的配置检查项目后，再逐段测试两端私网的互连通达性，如果还有异常，再结合流量统计和抓包结果进一步定位其他非地址冲突类故障，注意单次排查只能排除私网地址冲突相关的可能性，不能直接判定网络完全不存在其他配置问题。
