网段重叠为什么致命
两个 VPC 或 VPC 与 IDC 使用相同的私网地址段时，对等连接、专线、VPN 都建不起来，或者建起来后流量走错方向。原因是双方的地址在各自网络里都「本地可达」，平台没有任何依据判断某个 10.0.0.5 该走本地还是走隧道。这个问题无法靠改配置绕过，只能改网段、加 NAT 转换或调整架构。
基本信息
| 判断标准 | 看地址包含关系而非掩码是否相同 |
|---|---|
| 典型表现 | 对等连接创建失败；隧道已建但业务不通 |
| 可行手段 | 改网段、NAT 转换、架构调整三类 |
| 预防措施 | 维护全公司统一的网段登记表，分配前评审 |
处理思路
- 新增网段：新业务改用不冲突的地址段，可用附加网段承载
- NAT 转换：用 NAT 网关或自建 NAT 把重叠地址映射为唯一地址
- 架构调整：关键业务迁到新 VPC，旧网段逐步退役
- 事前预防：统一登记各云与 IDC 的网段表，分配前先评审
- 排障留痕：把已发现的重叠关系记进网络台账，避免重复踩坑
快速判断是否重叠
快速判断是否重叠
python3 -c "import ipaddress as ip; a=ip.ip_network('10.0.0.0/24'); b=ip.ip_network('10.0.0.0/16'); print(a.overlaps(b))"
# 输出 True 表示两个网段重叠，无法直接建对等连接
# 批量核对时把网段表读进来两两比对即可三种手段对比
| 手段 | 适用场景 | 代价 |
|---|---|---|
| 改网段 | 业务可停机或用附加网段过渡 | 改动量取决于存量规模 |
| NAT 转换 | 对端网段完全不可改 | 排障复杂度上升 |
| 架构调整 | 长期治理，终极方案 | 周期长，需迁移窗口 |
多层 NAT 会显著提高排障难度，能用网段规划解决就不要依赖 NAT 转换：日志、监控、限制策略都会因为地址伪装而失真。
10.0.0.0/24 与 10.0.0.0/16 属于重叠关系；判断时看一段是否被另一段包含，而不是比较掩码长度或起始地址。