现在很多企业和个人站点都在逐步落地IPv6双栈部署，跨站点VPN隧道承载IPv6流量的场景越来越多，很多管理员配置完VPN IPv6路由后经常遇到半通、丢包或者IPv6流量走公网不进隧道的问题，这份全流程必做检查项目清单覆盖从配置前的基础环境到最终端到端连通的全节点校验，所有步骤都可以在主流的企业级防火墙、家用软路由和云VPN网关上直接落地操作，没有虚设的验证环节。
配置前的IPv6基础环境预检查项
很多管理员上来就直接在VPN隧道里加IPv6路由，最后排查半天才发现基础网络本身就不通IPv6，这是最常见的前置错误，也是VPN IPv6路由配置检查项目里最容易被跳过的环节。
首先要在VPN两端的本地内网接口上，确认IPv6前缀已经正确分配，不管是运营商动态分配的PD前缀还是手动配置的静态全局单播地址，都不能用链路本地地址直接作为VPN路由的下一跳地址，否则跨网段转发会直接失效。
运维人员正在逐项开展VPN IPv6路由配置前的基础环境预校验工作
接下来要检查VPN两端的公网出口是否允许IPv4的ESP或者GRE协议通行，VPN加速器大部分IPv6 over VPN的隧道封装外层还是走IPv4公网，外层连通性不满足的话内层IPv6流量根本无法封装传输，这个环节可以在两端设备上直接用系统自带的ping工具测试对端VPN公网接口的IPv4地址连通性。
VPN隧道层面的IPv6路由绑定校验
这个环节是VPN IPv6路由配置检查项目的核心部分，很多开源VPN工具默认是关闭IPv6转发权限的，哪怕你手动加了路由条目，内核也会直接丢弃收到的IPv6隧道报文。
以常见的OpenVPN和IPsec VPN场景为例，要先确认隧道接口本身已经开启了IPv6协议栈支持，IPsec的安全策略里必须显式允许两端内网的IPv6前缀互相访问，不能只配置IPv4的感兴趣流，否则符合规则的IPv6流量不会被送入隧道封装。
接下来要检查静态路由或者动态路由的发布范围，如果你用OSPFv3或者BGP+动态发布IPv6路由，要确认路由条目没有被错误汇总或者过滤，两端VPN设备的路由表里必须存在指向对端IPv6内网网段的路由，下一跳明确指向本地的VPN隧道接口，不能指向公网网关。
跨节点转发的中间链路验证
完成前两步配置之后，不要直接拿终端做连通性测试，先在VPN两端的网关上直接发起IPv6 traceroute测试，测试目标是对端网关的内网IPv6接口地址，如果traceroute的路径里所有跳数都只出现两端的VPN隧道接口地址，说明流量完全走在隧道内部，没有泄露到公网IPv6链路上。
这里要注意一个常见误区，很多运营商的IPv6公网地址是动态分配的，如果你把IPv6默认路由发布进VPN隧道，很可能导致所有内网IPv6流量都被送入隧道，大熊连访问本地运营商IPv6站点的流量也走跨站点链路，反而引发不必要的访问异常。
终端侧的路由策略补全检查
很多场景下VPN客户端接入的用户，哪怕服务端配置完全正确，终端也可能出现IPv6流量泄露的问题，这时候要检查终端的网卡优先级，确认VPN虚拟网卡的IPv6路由优先级高于本地物理网卡的公网IPv6路由优先级。
最后还要做边界校验，在终端访问可以查询公网IPv6地址的站点，确认访问公网IPv6服务时的出口地址符合你的预期，如果是站点到站点的VPN场景，还要抽查内网不同VLAN下的终端访问对端IPv6服务的连通性，避免部分网段的路由配置遗漏。
