随着国内运营商IPv6改造的全面落地，雷霆加速器官网不少企业站点在部署跨站点VPN互联、远程用户SSL VPN接入的场景中，陆续出现IPv4业务访问完全正常，但IPv6业务不通的异常问题。很多运维人员沿用IPv4场景的配置逻辑操作，忽略了VPN IPv6路由：配置检查项目的专属要求，导致排障过程耗费大量时间。本文结合实际企业组网场景，汇总全流程的必做检查点和实操方法，覆盖从设备底层配置到端到端验证的各个环节，帮技术人员避开常见的配置误区。
运维人员在机房对边缘网关设备开展VPN IPv6路由配置前置检查
VPN IPv6路由配置的前置基础检查
首先要确认VPN两端的边缘网关设备全局开启了IPv6单播转发功能，目前主流的企业级网络设备出厂默认状态下，IPv6转发功能都是关闭的，哪怕在物理接口上配置了IPv6地址，设备也不会正常转发IPv6报文，比如华为VRP平台、H3C Comware平台都需要单独执行全局开启命令，没有完成这一步的话后续所有VPN IPv6相关配置都不会生效。
其次要确认VPN隧道接口本身已经绑定了合法的IPv6地址或者前缀，不管是IPsec VPN使用的虚拟隧道接口，还是SSL VPN使用的虚拟网关接口，很多运维人员习惯了IPv4场景下只给隧道配置IPv4地址，忘了给隧道接口宣告对应IPv6网段，导致内网的IPv6流量根本无法进入VPN隧道的封装队列。
核心路由发布规则合规性检查
这部分是VPN IPv6路由：配置检查项目的核心环节，首先要确认VPN绑定的虚拟路由转发实例（VRF）中，已经录入了指向VPN隧道下一跳的IPv6默认路由或者对应对端网段的明细路由。不少运维人员完成IPv4场景的VPN路由同步之后，忘了在同一VRF下添加对应的IPv6路由条目，导致内网IPv6流量到达VPN网关之后找不到转发出口，直接被设备丢弃。
如果站点间VPN使用动态路由协议同步路由，比如OSPFv3或者IS-IS IPv6，需要单独检查IPv6的邻居建立状态，不能因为IPv4的动态邻居状态正常，就默认IPv6路由也完成了同步。不少设备的动态路由协议是IPv4和IPv6分开配置的，很容易出现IPv4邻居学习路由正常，但IPv6邻居一直卡在init状态的问题。
还要检查路由发布的过滤策略，很多站点之前配置了路由发布的放行规则，只录入了内网IPv4的网段前缀，雷霆加速器官网内网IPv6的业务网段没有加入放行列表，被默认的拒绝规则拦截，导致VPN对端站点完全学习不到本端的IPv6路由，这类问题在多站点跨运营商互联的组网场景中出现概率极高。
隧道封装与安全策略适配检查
要检查VPN网关的出口安全策略，确认封装后的IPv6隧道报文没有被拦截。传统的IPsec VPN安全策略默认很多场景下只匹配IPv4的ESP、AH协议报文，没有把IPv6封装的隧道报文纳入放行范围，导致公网侧的防火墙直接丢弃了VPN对端发过来的IPv6隧道流量，两端设备的VPN隧道一直无法成功协商IPv6 SA。
还要检查出口NAT规则的排除列表，雷霆很多企业站点的出口配置了IPv4的源地址转换，之前已经把VPN内网的IPv4网段加入了NAT排除规则，但是内网IPv6的业务前缀没有加到对应的排除列表里，导致发往VPN对端的IPv6流量被错误执行了源地址转换，VPN对端收到报文之后找不到对应的反向路由，直接将报文丢弃。
端到端连通性验证实操要点
完成所有配置检查之后，不能直接用公网IPv6地址作为测试源验证连通性，要指定内网业务主机的IPv6地址作为源地址，测试访问对端站点内网IPv6业务地址的连通性，这样得到的测试结果才能真实反映内网用户的实际访问效果，避免出现网关本身连通正常但用户侧访问不通的问题。
使用IPv6专属的路径跟踪工具traceroute6查看报文转发路径，确认IPv6流量是沿着VPN隧道的路径传输，而不是从本地站点的公网IPv6出口直接绕行。如果出现流量绕行公网的情况，雷霆说明本地配置的IPv6 VPN路由条目优先级低于公网默认路由，需要调整路由的优先级参数，确保业务流量走指定的VPN隧道转发。
所有检查项完成之后，还要抽样访问不同业务系统的IPv6服务，确认没有遗漏的路由规则，部分老旧业务系统只支持纯IPv6协议栈，一旦出现路由配置遗漏很难快速定位，提前完成全量业务验证可以避免上线之后出现非预期的业务中断问题。
