这份指南面向企业运维人员、远程办公网络管理员，梳理VPN IPv4地址配置全流程的标准化检查项目，覆盖从配置前的资源核验到上线后的连通性校验全环节，所有检查项都可以在主流IPsec VPN、SSL VPN设备上落地执行，帮助排查地址冲突、路由不通、访问权限异常等常见配置类故障，避免因IPv4地址配置疏漏导致的VPN连接中断、业务访问异常问题。
配置前的IPv4地址资源边界核验项目
首先要确认VPN分配的IPv4地址池和企业内网现有IPv4网段不存在重叠，很多新手配置时直接随便选了私网网段，刚好和办公区的无线网段重合，导致VPN接入的终端拿到地址后完全无法访问内网资源。检查时要把内网所有业务服务器网段、办公终端网段、服务器集群网段、物联网设备网段全部列出来，和VPN地址池的网段做比对，排除地址段重叠的可能。
接下来要核验VPN IPv4地址池的地址总量是否匹配预期的最大并发接入终端数，不能出现地址池容量小于同时在线VPN用户数的情况，否则后续高峰时段会出现用户连接VPN后拿不到IPv4地址直接断开的问题，还要预留一部分闲置地址给临时接入的运维测试终端，避免地址资源完全耗尽。
企业运维人员正在开展VPN IPv4地址配置前的网段资源核验工作，提前规避地址冲突类故障
VPN网关侧IPv4关联配置检查项目
首先检查VPN网关本身的物理接口IPv4地址，确认连接内网侧的接口IPv4地址已经正确配置了对应的内网路由，指向内网核心交换机的下一跳地址，不能出现VPN网关自身都无法ping通内网核心网关的情况，否则后续分配给VPN终端的IPv4地址根本没有转发路径。
然后检查VPN IPv4地址池的出站路由配置，确认所有从VPN地址池发出的流量，都能被正确指向内网安全域，同时要在企业内网核心交换机上添加回指路由，把VPN地址池的网段路由全部指向VPN网关的内网侧接口IPv4地址，避免内网服务器回包找不到VPN终端的路径。
还要检查VPN网关的IPv4访问控制列表配置，确认没有针对VPN地址池的默认拒绝规则，很多管理员配置安全策略的时候不小心把陌生私网网段全部拦截，导致VPN终端拿到IPv4地址后所有内网访问请求都被防火墙丢弃，免费VPN这类隐性故障很难通过常规连通性排查快速定位。
终端侧VPN IPv4地址获取状态检查项目
用户发起VPN连接之后，首先在终端的网络适配器状态里查看VPN虚拟网卡拿到的IPv4地址，确认该地址属于之前规划的VPN地址池范围内，没有出现拿到169.254开头的自动私有地址的情况，如果出现自动私有地址，说明终端和VPN网关之间的地址分配交互流程出错，大概率是网关侧地址池资源耗尽或者DHCP中继配置异常。
接下来在终端上执行IPv4路由表查询命令，确认终端生成了指向VPN虚拟网卡的内网网段路由，同时检查终端的IPv4 DNS配置，确认分配给VPN终端的DNS服务器是内网的域名解析服务器，不能出现VPN连接之后终端的DNS还是公网DNS的情况，否则内网业务域名无法正常解析。
连通性验证阶段的IPv4配置校验项目
首先用VPN终端拿到的IPv4地址，尝试ping VPN网关的内网侧接口IPv4地址，如果能正常连通，说明终端到VPN网关的内层转发路径没有问题，如果不通，vpn优先排查虚拟网卡的IPv4子网掩码配置是否和网关侧的规划一致，有没有出现子网掩码配置错误导致二层广播域不匹配的问题。
接下来尝试用VPN终端的IPv4地址ping内网核心网关的IPv4地址，如果能连通，说明跨设备的路由转发已经正常生效，之后再测试访问不同安全域的业务服务器，确认不同网段的回包都能正常返回到VPN终端的IPv4地址，没有被中间的防火墙策略拦截。
最后还要做边界场景的校验，用两台不同的VPN终端拿到的IPv4地址做互ping测试，确认两个VPN终端之间的地址访问符合预设的权限规则，如果业务场景不允许VPN终端之间互相访问，就要调整对应的访问控制列表，避免出现终端私搭访问通道的隐私边界泄露问题。
所有检查项目完成之后，要把每一项的核验结果记录到运维台账里，后续调整VPN地址池、新增内网网段的时候，重新走一遍全流程检查，避免旧的配置和新的网络环境出现冲突，从配置层面降低VPN连接故障的发生概率。
