很多用软路由搭建远程办公、异地组网VPN的用户，经常遇到连入VPN后无法访问内网共享盘、甚至本地设备断网的问题，这类故障九成以上都和软路由VPN的地址冲突相关。不少新手排查时只会反复重启设备，找不到问题根因，本文整理了从故障定位到彻底解决的全流程实操步骤，覆盖OpenWrt、iStoreOS这类主流软路由系统的常见场景，普通用户跟着操作就能完成大部分冲突问题的排查。
第一步：先区分冲突发生的具体场景，缩小排查范围
排查时不要上来就修改配置，先在故障复现的时候分别记录两端的地址信息，比如你用家里的软路由搭了异地访问的VPN，远程在外网用手机连VPN的时候，先观察手机当前连接的WiFi网段，如果当前接入的公司内网是192.168.1.0/24，而软路由本身的LAN口网段刚好也是192.168.1.0/24，VPN分配的地址池如果也在同网段，就会直接触发两端网段重叠的冲突。
用户在桌面环境下对照实操步骤排查软路由VPN的地址冲突故障
这时候可以先在远程客户端上打开命令提示符，Windows系统输入ipconfig，macOS或Linux系统输入ifconfig，查看VPN虚拟网卡拿到的IP地址，和当前客户端本地物理网卡的IP网段是不是完全重合，如果重合就属于典型的远端接入网段和VPN网段重叠冲突，这是占比最高的故障场景。
检查软路由本地的多网段地址占用情况
很多用户给软路由装了旁路由、Docker服务、789加速器官网甚至挂了多个AP管理后台，不同服务的默认网段经常重复，比如Docker默认用172.17.0.0/16，部分VPN的默认地址池也选了这个段，就会导致软路由内部的转发规则混乱，VPN客户端连进来之后直接和Docker容器抢地址。
这一步要登录软路由的后台，找到接口配置页面，把LAN口、WAN口、虚拟接口、Docker、旁路由从属的所有网段全部列出来，不要漏了访客WiFi、IoT专属VLAN这类平时很少用到的网段，只要是软路由能路由到的网段，都不能和VPN的地址池范围重叠。
很多新手排查的时候只会看VPN设置页面里的地址池，忽略了软路由本身开的DHCP服务的分配范围，比如LAN口的DHCP已经把192.168.1.2到192.168.1.200全部分配给内网设备，你把VPN地址池设成192.168.1.20到192.168.1.30，就会出现VPN客户端连进来之后，刚好和内网某台已经拿到同IP的摄像头、打印机冲突，直接导致两台设备都离线。
验证VPN路由规则的配置合理性
很多软路由的VPN服务默认开了“允许客户端访问所有网段”的转发规则，如果你的VPN地址池是单独划分的网段，比如10.0.0.0/24，但是你没在软路由的防火墙里给这个网段配置对应的转发放行规则，就会出现系统自动把VPN的地址流量往LAN口转发，间接和内网地址池产生冲突。
这一步要进入软路由的防火墙设置，找到VPN对应的区域，把VPN客户端网段的转发权限设置成仅允许访问你指定的内网业务网段，不要开无限制的全端口转发，同时确认没有把VPN虚拟接口的网段和LAN口的桥接选项勾上，桥接模式下VPN客户端相当于直接接入LAN，冲突概率会比路由模式高很多。
冲突解决后的有效性验证方法
调整完VPN地址池之后，不要立刻批量通知所有远程用户测试，先自己用一台不在当前内网的外网设备连接VPN，先尝试访问软路由的后台管理地址，789确认连通性正常之后，再依次访问内网的共享盘、监控摄像头、业务服务器等核心设备。
测试的时候还要切换不同的外网环境，比如分别用手机流量、不同运营商的家用宽带连接VPN，确认不会因为远端接入的网段不同再次触发冲突，如果你经常需要在不同地点接入VPN，推荐把VPN的地址池划分为重合概率更低的小众网段，这类网段和绝大多数家用、小型办公内网的默认网段重叠概率很低。
还要注意常见误区，不要为了省事直接把VPN地址池设成和LAN口完全一样的段，哪怕你调整了DHCP的分配范围，后续新增内网设备的时候很容易出现地址漂移冲突，也不要随便关闭软路由的IP地址冲突检测功能，这个功能会在VPN分配地址前先确认对应IP没有被占用，能规避大部分偶发的隐性冲突问题。
