随着国内运营商IPv6网络的全面普及，越来越多企业和个人用户开始在VPN场景下叠加IPv6地址配置，不少用户因为对双栈VPN的配置逻辑不熟悉，经常出现配置完成后IPv6流量不通、流量泄露、路由冲突等隐性问题，这份VPN IPv6地址配置检查项目明细指南覆盖从前期环境筹备到上线验证的全流程环节，所有检查项都对应实际运维场景中的高频故障点，能帮用户大幅降低配置出错的概率。
配置前双栈基础环境预检查项目
这个阶段的检查要在修改任何VPN配置之前完成，猫头鹰很多运维人员上来就直接调整隧道参数，最后排查半天才发现底层物理网络本身的IPv6连通性就存在问题，完全是无效操作。
首先要检查VPN网关的物理公网接口，确认接口已经正确获取到运营商分配的全局单播IPv6前缀，猫头鹰VPN不能直接用默认生成的链路本地地址作为隧道公网端点地址，同时要确认设备系统层面的IPv6转发开关已经开启，多数网络设备出厂默认是关闭IPv6跨接口转发的，不开启的话所有IPv6报文都会被系统直接丢弃。
其次要提前梳理内网侧的IPv6地址池规划，确认内网分配的IPv6网段既不会和运营商分配的公网前缀冲突，也不会和VPN隧道对端的内网IPv6网段出现重叠，避免后续路由层面直接出现环路，大幅提升故障排查的成本。
运维人员在调整VPN隧道配置前，先对底层双栈基础网络环境开展预检查，提前规避底层连通性故障
VPN隧道层面IPv6参数配置校验项目
不管是常用的IPsec站点间VPN，还是面向移动终端的SSL VPN，都要单独检查隧道配置页面里的IPv6流量承载开关，不少老版本的VPN设备默认只允许IPv4报文穿过加密隧道，就算两端都配置了IPv6地址池，所有IPv6流量也会被隧道接口直接丢弃。
接下来要检查加密域也就是感兴趣流的配置，传统IPv4 VPN的加密规则只会匹配源目IPv4网段，需要额外新增对应IPv6的源目网段匹配规则，确保需要走隧道加密的IPv6流量能被正确识别，不要出现本该走隧道的IPv6流量直接从公网裸奔流出的情况。
针对SSL VPN场景还要单独校验虚拟IPv6地址池的配置，确认地址池的网段不会和VPN网关自身的直连网段重叠，同时地址池的虚拟网关参数要指向VPN设备内网侧的IPv6接口地址，不然终端拿到分配的IPv6地址之后根本找不到隧道的回程路由。
路由与转发逻辑一致性检查项目
很多用户配完隧道的基础参数之后，经常忘记添加指向对端IPv6内网网段的静态路由，这类静态路由的下一跳要直接指向VPN的虚拟隧道接口，不能直接填写公网的下一跳IPv6地址，不然IPv6流量根本不会进入隧道完成加密封装。
还要同步检查VPN设备上已有的IPv6策略路由配置，如果之前针对IPv4流量做过自定义分流规则，要确认旧规则没有误拦截需要走隧道的IPv6流量，也不要把本该走本地公网出口的普通IPv6流量错误导入隧道，造成不必要的带宽资源占用。
上线后连通性与边界验证检查项目
所有配置修改完成之后，首先要在VPN网关侧用ping6工具测试隧道对端的内网IPv6地址，确认加密隧道本身的IPv6连通性正常，之后再用接入VPN的终端测试，先确认终端已经正常拿到VPN分配的虚拟IPv6地址，再测试访问对端内网的IPv6服务是否可以正常响应。
接下来要做IPv6流量泄露的专项验证，先断开VPN连接测试终端的公网IPv6出口地址，再连接VPN之后重新测试公网IPv6出口地址，确认所有IPv6流量都按照预设的规则走对应路径，不会出现本该走隧道的流量从本地公网出口直接流出的情况，避免内网信息意外暴露。
最后还要做双栈混合场景的边界验证，同时发起IPv4和IPv6的跨隧道访问请求，确认两类流量不会互相抢占匹配规则，也不会出现其中某一类流量被异常拦截的情况，排除配置规则冲突引发的隐性故障。
