在当前不少中小办公、小型分支机构的网络部署中，为了保障出口冗余，很多用户会同时接入两条不同运营商的宽带，同时搭配VPN实现远程员工接入、跨站点内网互联的需求，这类场景下地址冲突是出现频率极高的隐性故障，很多时候不会直接弹出明确的冲突提示，只会表现为VPN隧道频繁断连、部分内网资源无法访问、主备宽带切换后业务异常等问题。这篇实用排查指南完全落地于实际运维场景，不需要特殊专业工具，就能一步步定位双宽带环境VPN场景下的地址冲突问题。
先确认冲突现象的精准边界
排查的第一步不要上来就修改路由或者网段配置，先把故障发生的完整场景记录清楚，区分故障的触发条件：是VPN隧道在建立阶段就直接报错终止，还是隧道成功连通之后只能访问部分内网资源，还是只有在双宽带切换主备链路的时候才会出现访问异常。不少运维人员上来就直接修改内网LAN口地址，反而把原本运行正常的VPN配置打乱，扩大故障影响范围。
接下来要初步区分冲突的发生位置，判断冲突是出现在VPN两端的内网侧，还是双宽带的出口侧。如果本地内网的终端也弹出了IP地址冲突的系统提示，同时远程VPN用户也出现访问异常，那大概率是内网侧的网段重叠；如果本地内网所有终端访问业务都完全正常，只有VPN连通之后无法互访资源，本地没有任何冲突提示，那问题基本出在VPN的路由配置和地址池配置环节。
检查双宽带出口的基础网段配置
很多用户部署双宽带的时候为了图省事，两条宽带的运营商光猫默认LAN网段都没有做修改，不少品牌的光猫出厂默认LAN段都是相同的私网网段，接在主路由的两个WAN口下方之后，当VPN配置的路由指向其中一条宽带的出口网关时，就会出现网关地址和内网LAN段重叠的隐性冲突，这类冲突很难直接通过普通的地址扫描工具发现。
这一步的检查方法是分别登录两条宽带的光猫管理后台，查看各自的LAN侧IP地址段，再和内网主路由的LAN段、VPN分配给远程接入用户的地址池段做逐一比对，只要任意两个网段出现包含关系或者地址范围完全重叠的情况，就属于配置层面的显性冲突，是双宽带VPN场景下最常见的冲突诱因。
这一步排查的预期结果是所有涉及的网段，包括两条宽带的WAN侧网关段、内网LAN业务段、VPN隧道两端的内网业务段、VPN远程接入地址池段，全部都是互不重叠的独立网段，不存在任何地址范围的交叉，从基础配置层面排除显性冲突的可能。
排查VPN站点互联场景下的对端网段冲突
很多跨站点部署双宽带VPN的场景，两个办公点的管理员各自配置内网网段的时候没有提前同步规划，刚好选了完全一致的私网网段，哪怕两边各自的双宽带出口配置完全正常，VPN隧道打通之后也会出现地址路由冲突，两边的终端都没法正确把访问请求送到对端，还可能出现本地访问同网段内网资源被错误转发的问题。
排查这类问题的时候可以先在VPN网关的路由表里面查看，有没有同一个目的网段同时指向本地LAN口和VPN隧道接口的重复路由条目，如果存在这类条目，就说明两端的内网网段配置重叠，属于典型的VPN场景下的地址冲突，这类问题在双宽带多出口的VPN环境下出现的概率会更高。
很多运维的常见误区是碰到这种情况就直接添加静态路由强制指向VPN接口，这种操作只会导致本地原本要访问内网同网段资源的请求被送到VPN对端，反而引发更大范围的访问故障，正确的处理方式是修改其中一端的内网私网网段，重新同步VPN的感兴趣流配置，从根源上消除网段重叠。
验证VPN地址池和内网DHCP的地址冲突
不少双宽带环境下的VPN远程接入配置，管理员直接把VPN的地址池设置成和内网DHCP的可用地址池同一个大段，当内网DHCP分配给本地终端的地址刚好和VPN分配给远程用户的地址重合时，就会出现同一内网内两个设备IP完全一致的冲突，远程VPN用户和本地对应IP的终端都会出现断流、丢包的问题。
排查的时候可以先把VPN地址池的范围单独划出来，放到完全独立的未使用私网网段里，不要和内网DHCP的地址池有任何交叉，配置完成后可以在VPN网关后台查看当前在线的远程用户地址，和内网ARP表里面的终端地址做比对，确认没有重复的IP条目。
这里要注意双宽带环境下如果配置了VPN的多出口负载，VPN网关会自动把接入请求分配到两条宽带的链路上，不同链路下分配的VPN地址池如果没有做统一规划，也可能出现跨链路的地址分配重复问题，需要单独把两条宽带对应的VPN接入地址池拆分成完全独立的两个网段，避免分配重叠。
所有排查调整完成之后不要立刻恢复全量业务，先选少量测试终端分别走两条宽带链路接入VPN，测试跨网段访问内网资源的连通性，确认没有冲突提示之后再放开全量用户的接入权限，避免遗漏隐性的网段重叠问题导致故障复发。
