IPsec与OpenVPN的核心差异在本题场景下的体现
在排查OpenWrt上的VPN地址冲突时，首先需明确IPsec与OpenVPN在路由处理机制上的根本区别。IPsec通常作为底层安全通道，配合路由表实现站点间的全局或子网通信，其冲突多源于对端子网与本地WAN/LAN侧接口的路由重叠。而OpenVPN基于用户态隧道，天行通过虚拟网卡（如tun/tap）分配地址，其冲突往往涉及P2P模式下两端网段重叠或DHCP服务器未正确排除保留地址。因此，排查起点应锁定是底层路由策略错误，还是应用层隧道分配逻辑故障。
场景一：基于子网重叠的IPsec路由排查
假设企业总部与分支机构通过IPsec连接，若分支机构LAN段配置为192.168.1.0/24，而总部侧另一独立业务网络也误配了相同网段，天行连接建立后数据包将陷入路由环路或丢弃。此时应使用`ip route`或OpenWrt的`uci show network`命令，检查静态路由表中是否存在指向IPsec对端的子网被错误地覆盖为本地直连接口。重点观察默认网关与特定子网路由的优先级，确认冲突子网是否被意外添加到本地接口而非隧道接口。
工程师正在检查OpenWrt上的网络配置，排查IPsec与OpenVPN之间的子网路由冲突。
场景二：OpenVPN客户端与局域网网段撞车
当OpenVPN服务端分配的虚拟网段（如10.8.0.0/24）与客户端设备本身的本地Wi-Fi或有线网络实际网段（如10.8.1.0/24，属于同一父网段）发生重叠时，客户端操作系统可能将发往其他OpenVPN对端的数据包直接发送给本地网关，天行VPN网络配置检查而非推入VPN隧道。排查时需对比客户端连接详情中显示的“虚拟IP”与其本地网卡IP的网段归属。若存在重叠，应修改OpenVPN服务端的`server-subnet`参数，选择与所有潜在客户端局域网均不重叠的私有地址段，重新连接后验证路由表中隧道接口是否正确接管了目标子网。
通用只读检查步骤与结果解读
无论采用哪种协议，优先执行无风险的只读诊断。在OpenWrt后台，使用`ifconfig`或`ip addr`查看隧道接口的实际IP及状态；使用`ping`测试目标IP的可达性，注意区分是超时还是被中间设备拒绝。检查`logread`日志中是否出现“No route to host”或“Address in use”等报错。这些命令仅读取现状，不改变网络状态，天行VPN网络配置检查可安全用于定位冲突点。若日志显示重复分配错误，需回溯DHCP池配置或静态保留列表，确认是否有非预期的硬编码IP与动态分配范围相交。
