现在多数企业和个人网络都逐步切换到IPv4/IPv6双栈运行模式，传统VPN配置如果没有适配IPv6路由规则，很容易出现IPv6流量泄露、跨站点访问不通、路由优先级冲突等隐性问题，这份指南围绕VPN IPv6路由的配置检查项目展开，从配置前的环境核验到上线后的故障定位，覆盖全流程必查的实操节点，帮用户避开常见的配置疏漏。
配置前的基础环境核验项目
很多用户上来就直接输入VPN配置命令，芒果跳过了IPv6基础栈的启用检查，最后折腾半天发现设备本身没开IPv6转发功能，所有后续配置都完全不生效。
首先要确认VPN网关的物理接口已经开启IPv6协议栈，并且系统全局的IPv6单播转发开关处于激活状态，这个步骤不同设备的操作路径略有差异，但核心检查点是不能把IPv6流量默认设置为丢弃。
接下来要核验本地内网的IPv6地址段规划，不能和VPN隧道对端的IPv6前缀产生冲突，很多小型团队配置时直接复用运营商分配的公网IPv6前缀作为内网段，后续对接其他站点VPN时很容易出现路由重叠的问题。
网络连接与设备配置场景示意
隧道侧IPv6路由规则配置检查
这部分是VPN IPv6路由的配置检查项目核心环节，首先要确认VPN隧道的兴趣流配置里，已经同时匹配了IPv4和IPv6的感兴趣流量，不少旧款VPN设备默认的隧道规则只放通IPv4报文，IPv6流量根本不会被送入隧道封装。
然后要检查静态路由或者动态路由的发布规则，需要把本地内网的IPv6网段正确发布到VPN隧道的对端，同时也要确保对端返回的IPv6路由条目能正确同步到本地路由表，不能出现单边路由通的不对称转发情况。
这里要特别注意路由优先级的设置，很多设备默认公网IPv6默认路由的优先级高于VPN生成的路由，会导致访问对端IPv6资源的流量直接从本地公网接口发出，根本不走VPN隧道，出现看似路由条目存在但访问完全不通的问题。
上线后的连通性与泄露验证项目
配置完基础规则之后，不能直接上线投入使用，首先要做逐跳的连通性测试，先从VPN网关本地ping对端内网的IPv6地址，芒果加速器确认隧道内的IPv6转发没有问题，再从内网终端跨VPN访问对端的IPv6服务，排查中间三层交换机的IPv6转发规则是否正常放行。
接下来要做IPv6流量泄露检查，断开VPN连接时先记录本地终端的公网IPv6地址，再在连接VPN的状态下访问纯IPv6的测试站点，确认显示的出口IPv6地址属于VPN对端的网段，避免明文泄露本地的IPv6公网身份标识。
这里要避开一个常见误区，很多用户以为只要开了VPN的IPv6开关就不会出现泄露，实际上部分操作系统的IPv6临时地址机制会优先使用本地公网IPv6发起连接，必须在VPN策略里配置对应的IPv6流量强制走隧道的兜底规则。
日常运维的故障定位检查项
后续日常使用中如果出现IPv6相关的VPN访问故障，优先检查VPN隧道的IPv6 SA（安全联盟）是否正常建立，不少IPsec VPN的IPv6 SA和IPv4 SA是独立生成的，IPv4隧道运行正常不代表IPv6的加密通道已经成功协商。
其次要核对路由表的动态更新状态，如果用了BGP或者OSPFv3这类动态路由协议同步VPN IPv6路由，要确认邻居状态正常，没有出现路由条目频繁震荡导致的访问时断时续问题。
最后还要定期同步两端的IPv6前缀变更记录，运营商分配的IPv6公网前缀到期或者调整时，要同步更新VPN两端的路由和兴趣流规则，避免旧的路由条目残留引发转发异常。
