两端网段相同怎么办
两个站点都用同一个小网段是常见情况，例如分支机构出厂配置就带着相同的默认网段。直接建隧道后，两端的路由表会同时认为该网段在本地和隧道对端，转发结果取决于路由优先级，通常表现为部分主机能通、部分不通，且现象不稳定。处理思路有三条：重编号是把一侧地址改成不重叠的段，最彻底但涉及终端与业务改造；策略 NAT 是把其中一侧的网段映射成不重叠地址后再加密，改动范围集中在设备上；VRF 隔离则适合运营商侧，把两个相同网段放在不同虚拟路由表中分别承载。
基本信息
| 重编号 | 彻底解决，成本最高，适合长期方案与新建设备 |
|---|---|
| 策略 NAT | 把一侧映射成新网段后再进隧道，改动集中在设备 |
| VRF 隔离 | 两侧视角相互独立，适合运营商或大型汇聚场景 |
| 决策依据 | 业务复杂度、终端数量、是否需要长期维护 |
| 关键配套 | 加密流量匹配范围必须与实际映射后的地址一致 |
典型使用场景
- 并购整合：两家企业内网使用相同网段，需要短期打通
- 分支机构默认配置未改：出厂网段与总部冲突
- 临时互联：项目期内需要互通，无预算做地址改造
- 云上专线接入：云侧与本地使用相同网段
- 第三方对接：对方网段无法协调变更
Cisco 策略 NAT 示例
Cisco 策略 NAT 示例
# 把本端 192.168.1.0/24 映射为 172.16.99.0/24 后再进隧道
ip nat inside source static network 192.168.1.0 172.16.99.0 /24
!
# 加密匹配范围必须用映射后的地址，否则报文不会进入隧道
ip access-list extended VPN
permit ip 172.16.99.0 0.0.0.255 192.168.1.0 0.0.0.255
!
show ip nat translations # 确认映射表项已建立方案对照
| 方案 | 改动范围 | 主要风险 |
|---|---|---|
| 重编号 | 终端与服务配置 | 业务改造窗口长，易遗漏依赖项 |
| 策略 NAT | 两端设备配置 | 加密匹配范围与实际地址不一致会导致不通 |
| VRF 隔离 | 路由架构与承载设计 | 运维复杂度上升，排障需要区分实例 |
| 不改动直接建隧道 | 无 | 路由冲突导致时通时不通，问题难以稳定复现 |
策略 NAT 方案里最容易忽略的是加密匹配范围：映射后的地址必须出现在加密策略中，否则报文以明文发出或被丢弃。
只在一侧做映射而另一侧不做对称调整，双向流量可能只通一个方向；两端都要确认地址与策略的对应关系。