PFsense环境下IPSec隧道重叠子网通信解决方案咨询

嗨，这个场景我碰到过好多次，刚好可以给你梳理几个可行的解决思路：

一、静态NAT+路由调整（最推荐的方案） #

这是处理重叠子网最常用的办法，完全匹配你提到的“用新子网映射远端网段”的思路：

• 先在PFsense上给本地172.x/24子网的设备配置静态源NAT：把本地172.x的地址转换为你说的10.128.80.x/24网段（只要这个网段属于已授权的10.x/16范围内就行）。
• 接着更新IPSec隧道的本地策略，把10.128.80.x/24加入到允许通过隧道的本地网段列表里——因为远端那边已经允许10.x/16访问他们的172.x/24，这个子网段会自动被包含进去，不需要改远端配置。
• 最后在PFsense的路由表中添加一条静态路由，指定10.128.80.x/24的流量必须走IPSec隧道接口，确保转换后的流量能正确进入隧道。

二、虚拟IP+代理ARP（适合小规模场景） #

如果本地172.x/24的设备不多，也可以用这个方式：

• 在PFsense上创建一个属于10.x/16网段的虚拟IP（比如10.128.80.1），然后把本地172.x/24的PC默认网关都指向这个虚拟IP。
• 配置NAT规则，将来自本地172.x/24的流量源地址转换为虚拟IP所在的10.128.80.x/24网段。
• 开启PFsense的代理ARP功能，让本地网络里的设备能正确识别这个虚拟IP，避免出现路由冲突。

关键注意点 #

• 一定要确保NAT规则的优先级高于IPSec的规则，不然流量可能还没被转换就尝试走隧道，导致因为网段不匹配被拒绝。
• 如果本地和远端的172.x/24是完全相同的网段（比如都是172.16.1.0/24），别忘了配置反向NAT：把远端172.x的目标地址转换为本地172.x的地址，这样本地PC才能收到远端的响应包。
• 测试时可以用PFsense的抓包工具，确认流量是否被正确转换，以及是否成功进入IPSec隧道。

你一开始想到的“定义第二个子网映射远端网段”的思路完全正确，本质就是通过NAT把重叠的网段转换成隧道允许的合法网段，让跨隧道的通信能正常建立。

备注：内容来源于stack exchange，提问作者LeifSec