当前国内多数运营商已经完成IPv6网络的全域覆盖，不少企业远程办公、个人自建VPN场景下，经常出现IPv6流量泄露、内网IPv6资源无法通过VPN访问的问题，这份VPN IPv6路由配置检查项目汇总，覆盖从配置前环境核验到后续连通性验证的全流程必填校验点，帮使用者避开常规配置疏漏，减少路由转发异常的概率。
运维人员正在逐项核验VPN IPv6路由配置的前置检查项
配置前的基础环境预检查
首先要确认VPN两端的物理连接接口本身已经正常启用IPv6协议栈，很多长期配置IPv4 VPN的用户容易忽略这一步，默认系统会自动开启IPv6支持，但部分精简版服务器系统、企业级网络设备的出厂配置会默认关闭物理接口的IPv6功能，接口层面未开启IPv6的前提下，后续所有路由规则都不会被系统识别。
接下来要核对VPN两端的IPv6地址段规划不存在冲突，不管后续选择静态路由还是动态路由协议同步路由，都要保证VPN隧道两端的内网IPv6前缀、公网连接用的IPv6地址不属于同一个广播域，也不能和运营商分配给本地终端的默认IPv6路由前缀重叠，避免后续出现路由优先级冲突，流量直接绕过VPN走本地公网转发。
隧道接口层面的路由绑定检查
首先要检查VPN隧道接口本身有没有配置独立的IPv6链路本地地址或者全局单播地址，部分IPsec VPN、OpenVPN的默认配置只会生成适配IPv4的隧道虚拟接口，没有开启IPv6报文处理权限，就算后续手动添加了IPv6路由条目，虚拟接口也不会识别和转发IPv6报文。
接下来要确认VPN两端设备的全局IPv6转发开关已经正常开启，Linux系统下可以核对系统内核参数里的IPv6转发配置项，华为、华三这类企业级网络设备要在系统视图下开启全局IPv6单播路由功能，很多零散的配置教程只会教用户添加路由条目，漏开全局转发开关会导致所有IPv6路由规则完全不生效。
还要检查VPN隧道的安全策略是否已经允许IPv6协议报文通过，很多用户配置IPsec的加密域ACL规则时，只写入了允许IPv4流量的匹配规则，没有把IPv6协议对应的流量放进加密封装范围，导致IPv6的数据包根本不会被封装进VPN隧道，要么直接被安全策略丢弃，要么直接走本地公网转发。
路由条目优先级校验
首先要核对生成的VPN IPv6路由条目优先级高于本地默认IPv6路由，大部分运营商分配给终端的默认IPv6路由属于直连路由优先级，如果手动添加的指向VPN隧道接口的内网IPv6段路由优先级更低，系统会自动选择走本地公网的转发路径，SurfsharkVPN官网导致内网IPv6资源访问完全失败。
接下来要检查路由表中是否存在多余的IPv6默认路由冲突，部分设备开启IPv6功能之后会自动生成多个默认路由，比如本地网卡自动获取的运营商路由、之前配置的其他隧道残留的旧路由，要把非VPN指向的多余默认路由手动删除，避免路由表出现等价路由导致流量负载分担，出现部分IPv6流量泄露到公网的情况。
连通性与流量走向验证
所有配置步骤完成之后，首先要使用IPv6专属的ping命令测试隧道对端的内网IPv6地址连通性，不要直接用IPv4的连通测试结果代替IPv6的配置有效性，很多场景下IPv4的VPN连通完全正常，但IPv6的路由因为配置疏漏完全不通，单独测试IPv6报文的往返连通性可以快速定位隧道层面的基础问题。
接下来要通过traceroute6工具追踪IPv6报文的转发路径，确认目标内网IPv6地址的报文第一跳下一跳就是VPN隧道的虚拟接口，中间所有转发节点都没有出现在本地运营商的公网IPv6节点路径里，就能确认当前IPv6流量完全走VPN隧道转发，没有出现预期外的流量泄露。
最后还要排查常见的配置误区，免费VPN不要直接把所有IPv6默认路由全部指向VPN隧道而不做任何分流规则，部分没有适配IPv6转发逻辑的VPN节点会直接丢弃所有IPv6报文，导致用户完全无法访问任何IPv6资源，也不要忽略IPv6的邻居发现协议配置，要是VPN两端的内网邻居表条目异常，就算路由条目配置完全正确也无法完成后续的二层转发。
