随着IPv6规模化部署的推进，不少企业分支互联、远程移动接入的VPN场景都需要同时承载IPv4和IPv6流量，实际运维中经常出现IPv6流量不通、路由泄露、路径优先级错乱的问题，很多管理员排查时容易遗漏关键配置项，导致故障定位耗时过长。这份清单覆盖VPN IPv6路由全流程的配置检查项目，结合实操校验方法帮用户逐层定位故障，避免无效调试。
前置基础环境合规性检查
很多运维人员调试VPN IPv6路由时，上来就修改隧道配置，反而忽略了底层基础网络的IPv6连通性本身就存在问题，白白浪费大量调试时间。这一步的检查不需要涉及VPN相关配置，先确认两端VPN网关所在的本地网络已经正常获取运营商分配的IPv6前缀，内网ND地址解析协议运行正常。
实操校验时直接在VPN网关设备的命令行下ping公网可访问的IPv6公共地址，预期结果是连通性正常，没有丢包延迟异常的情况。如果这一步测试不通，需要先排查运营商前缀分配、内网IPv6地址规划的问题，不要直接调整VPN路由配置，常见误区是把底层IPv6网络故障误判为VPN配置错误，越改越乱。
VPN隧道侧IPv6路由发布配置校验
这部分是核心的VPN IPv6路由：配置检查项目，首先要确认VPN隧道接口本身已经开启IPv6协议栈支持，不少早期的VPN设备默认隧道接口仅配置IPv4参数，就算后续手动添加IPv6路由条目，协议栈没有开启的情况下路由也不会生效。
运维工程师在机房调试VPN网关，校验IPv6基础网络连通性
接下来检查手动配置的静态路由条目，确认需要走VPN隧道的对端内网IPv6网段、指定通过VPN访问的公网IPv6默认路由，已经正确关联到VPN隧道出接口，同时要排查是否把本地内网IPv6网段误加入了隧道引流规则，自由猫APP不然会出现本地内网互访的流量也被强行转发到远端VPN的异常情况。
如果是使用OSPFv3、BGP4+这类动态路由协议同步VPN IPv6路由的场景，要确认两端VPN设备的动态路由邻居已经正常建立，需要同步的IPv6前缀没有被路由过滤策略拦截，预期结果是两端VPN设备的全局IPv6路由表中，都能看到完整的对端所有IPv6网段的路由条目。
路由优先级与转发路径校验
不少管理员配置完路由条目之后，还是会出现IPv6流量泄露到本地公网出口的问题，本质是不同路由条目的优先级配置出错。这一步要逐一比对本地IPv6默认路由、VPN隧道生成的IPv6路由的优先级数值，确保指定走隧道的IPv6路由条目优先级，高于本地运营商下发的公网IPv6默认路由，自由猫APP下载不然流量会优先选择本地公网出口，不会进入VPN隧道。
实操校验时可以在接入VPN的终端上执行IPv6专属的路由跟踪命令，跟踪一个远端VPN侧的内网IPv6地址，预期结果是路径的第一跳指向本地VPN网关的隧道接口IPv6地址，而不是本地运营商的IPv6网关地址。如果第一跳显示的是运营商网关地址，就说明路由优先级配置错误，流量没有进入VPN隧道。
这一步还要同步检查VPN设备的IPv6防火墙转发规则，很多管理员配置完IPv6路由之后，忘记在防火墙策略里放通对应IPv6网段的跨接口转发权限，就算路由条目完全正确，流量也会被防火墙拦截，表现出来的现象就是路由表能看到对应条目，但两端完全无法ping通。
终端侧IPv6路由配置收尾校验
如果是远程用户的移动接入VPN场景，还要单独检查终端侧的VPN虚拟网卡配置，确认虚拟网卡已经正常获取到分配的IPv6地址，不少桌面操作系统默认会优先使用本地物理网卡的IPv6路由，就算VPN虚拟网卡拿到了合法IPv6地址，系统也不会自动把对应流量往隧道引导。
校验时可以分别在断开VPN、自由猫APP连接VPN两种状态下查看终端的IPv6路由表，确认连接VPN之后，目标IPv6网段的路由条目下一跳自动指向VPN虚拟网卡，没有出现本地物理网卡路由和VPN路由冲突的情况。全部配置检查项目跑完之后，还要做一段时间的持续观测，确认没有出现IPv6路由条目震荡、转发路径来回切换的偶发故障。
