现在国内运营商IPv6部署覆盖率持续提升，不少政企、个人用户在使用传统VPN服务时，经常遇到IPv6站点访问异常、路由泄露、双栈优先级错乱的问题，本文围绕VPN IPv6路由的各类实际使用场景，拆解不同场景下的配置前提、排查步骤和适配方案，帮用户避开常见配置误区，理清不同网络环境下的路由规则逻辑。
家庭双栈宽带下的远程办公VPN IPv6路由场景
很多家庭宽带已经默认分配IPv6前缀，员工连接公司VPN的时候，迷雾通经常出现打开本地IPv6的家庭网关管理页失败，或者访问公司内网IPv4资源的时候跳转到公网IPv6链路的情况，这是最常见的个人用户遇到的VPN IPv6路由场景。
家庭双栈宽带环境下调试远程办公VPN IPv6路由配置的实操场景
这类场景的配置前提，首先要确认公司VPN网关本身是否已经开启IPv6路由支持，部分老旧的IPsec VPN网关默认只下发IPv4路由规则，不会对终端的IPv6路由表做任何修改，很容易出现IPv6流量完全绕开VPN隧道的泄露问题。
具体排查步骤也相对简单，连接VPN之后打开终端路由表，查看IPv6默认路由是否被VPN网关篡改，如果出现指向VPN虚拟网卡的默认IPv6路由，就会导致所有IPv6流量都走VPN隧道，VPN加速器很容易触发运营商的IPv6安全策略拦截。
这个场景下最常见的误区，就是很多用户遇到IPv6站点打不开就直接关掉终端的IPv6协议，这种做法会导致部分只支持IPv6的国内公共服务站点完全无法访问，属于因噎废食的操作，完全没必要直接禁用整个协议栈。
跨地域站点互联的专线级VPN IPv6路由场景
不少跨省布局的中小企业，之前用IPsec VPN打通不同城市的办公站点，随着各地站点的服务器陆续部署IPv6服务，迷雾通就需要让不同站点的IPv6内网段也能通过VPN隧道互相访问，这是典型的站点到站点VPN IPv6路由使用场景。
这类场景的适配方案要注意边界划分，配置的时候不能直接把站点的整个IPv6前缀都发布到VPN路由表，要先在内网划分独立的ULA私用IPv6地址段，只把私用地址段的路由条目注入VPN隧道，公网IPv6的访问流量还是走本地运营商链路。
这类场景的故障定位要点，是如果跨站点IPv6访问不通，先检查两端VPN网关的IPv6路由发布规则，确认没有把运营商分配的公网IPv6前缀错误发布到对端站点，避免出现路由环路引发的全站点网络中断。
面向移动用户的SSL VPN IPv6路由适配场景
经常在外使用手机、平板等移动设备接入公司VPN的用户，很多公共WiFi、5G移动网络都已经默认启用IPv6，这类移动终端的VPN IPv6路由规则和桌面端逻辑有明显区别，很多管理员之前没有针对移动场景做适配，很容易出现连接异常。
这类场景的配置注意事项，是移动终端的SSL VPN客户端默认如果检测到网络有IPv6地址，就会自动尝试协商IPv6隧道地址，很多管理员之前只配置了IPv4的地址池，没有给IPv6分配对应的内网前缀，就会出现VPN连接成功但所有内网资源都打不开的问题。
正确配置之后的预期结果也很清晰，移动终端的公网IPv6流量直接走本地移动网络链路，只有访问公司内网IPv4和私用IPv6资源的流量才会走VPN隧道，不会出现流量泄露或者访问异常的问题。
VPN IPv6路由配置的通用校验规则
不管是哪类使用场景，配置完成之后都要做路由校验，VPN加速器首先分别测试公网IPv6站点、内网IPv4站点、内网IPv6站点的访问状态，确认三类流量的转发路径都符合预期，没有出现非必要的跨链路转发。
配置时还要注意常见的边界问题，不要随意开启VPN网关的IPv6默认路由推送功能，除非你的业务需求就是所有流量全部通过VPN隧道转发，否则很容易出现原本可以本地直连的IPv6公共站点，绕远路走VPN隧道引发不必要的访问异常。
